Context.ai mengalami pelanggaran keamanan yang memicu krisis keamanan Vercel, CEO memublikasikan laporan kemajuan penyelidikan lengkap

CEO Vercel Guillermo Rauch mengungkapkan perkembangan penyelidikan di platform X, mengonfirmasi bahwa platform AI pihak ketiga yang digunakan karyawan Vercel, Context.ai, telah disusupi. Penyerang memperoleh kredensial akun karyawan melalui integrasi Google Workspace OAuth dari platform tersebut, lalu mengakses sebagian lingkungan internal Vercel dan variabel lingkungan yang tidak diberi label sebagai “sensitif”.

Rantai Serangan: dari Infiltrasi OAuth Alat AI hingga Penyusupan Bertahap ke Lingkungan Vercel

Berdasarkan penyelidikan Vercel, jalur serangan dibagi menjadi tiga tahap peningkatan bertahap. Pertama, aplikasi Google Workspace OAuth Context.ai sebelumnya telah disusupi dalam serangan rantai pasokan berskala lebih besar, yang kemungkinan memengaruhi ratusan pengguna di beberapa organisasi. Kedua, penyerang, melalui kompromi Context.ai, mengendalikan akun Google Workspace karyawan Vercel, lalu menggunakan kredensialnya untuk masuk ke sistem internal Vercel. Ketiga, melalui metode enumerasi, penyerang memperoleh hak akses tambahan dengan memanfaatkan variabel lingkungan yang tidak diberi label sebagai “sensitif”.

Rauch dalam pengumumannya menyatakan bahwa kecepatan tindakan penyerang “sangat mengagetkan”, pemahamannya terhadap sistem Vercel “sangat mendalam”, dan menilai bahwa kemungkinan besar mereka memanfaatkan alat AI untuk meningkatkan efisiensi serangan secara signifikan.

Batas Keamanan Variabel Lingkungan “Sensitif” dan “Non-Sensitif”

Insiden ini mengungkap detail penting tentang mekanisme keamanan variabel lingkungan Vercel: variabel lingkungan yang diberi label “sensitif” disimpan dengan cara yang mencegah pembacaan, dan hingga saat ini penyelidikan belum menemukan adanya akses terhadap nilai-nilai tersebut. Yang dimanfaatkan oleh pelaku adalah variabel lingkungan yang tidak diberi label “sensitif”; melalui metode enumerasi, penyerang berhasil memperoleh hak akses tambahan dari sana.

Vercel telah menambahkan halaman gambaran variabel lingkungan dan antarmuka manajemen variabel lingkungan sensitif yang ditingkatkan, untuk membantu pelanggan mengidentifikasi dan melindungi nilai konfigurasi bernilai risiko tinggi dengan lebih jelas.

Respons Darurat Vercel dan Daftar Rekomendasi Tindakan Resmi

Vercel telah mengontrak Google Mandiant, perusahaan keamanan siber lainnya, serta memberi tahu pihak penegak hukum untuk turun tangan. Next.js, Turbopack, dan proyek open source Vercel semuanya telah dikonfirmasi aman melalui analisis rantai pasokan; layanan platform saat ini berjalan normal.

Tindakan Keamanan Pelanggan yang Direkomendasikan Secara Resmi

Periksa log aktivitas: Tinjau log aktivitas untuk akun dan lingkungan, identifikasi aktivitas mencurigakan

Rotasi variabel lingkungan: Variabel lingkungan yang berisi informasi rahasia (kunci API, token, kredensial basis data, kunci penandatanganan) tetapi tidak diberi label sebagai sensitif harus dianggap berpotensi sudah bocor dan diutamakan untuk rotasi

Aktifkan fitur variabel lingkungan sensitif: Pastikan semua nilai konfigurasi rahasia diberi label sebagai “sensitif” dengan benar

Tinjau deployment terbaru: Selidiki deployment yang tidak normal dan hapus versi yang mencurigakan

Atur perlindungan deployment: Pastikan minimal disetel ke tingkat “standar”, dan lakukan rotasi token perlindungan deployment

Pertanyaan yang Sering Diajukan

Apa itu Context.ai, dan bagaimana ia menjadi pintu masuk serangan kali ini?

Context.ai adalah alat AI pihak ketiga kecil yang menggunakan integrasi Google Workspace OAuth, digunakan oleh karyawan Vercel untuk pekerjaan sehari-hari. Penyelidikan menunjukkan bahwa aplikasi OAuth dari alat tersebut sebelumnya disusupi dalam serangan rantai pasokan yang lebih luas, yang kemungkinan memengaruhi ratusan pengguna dari beberapa organisasi; kredensial akun karyawan Vercel direbut oleh penyerang selama proses ini.

Apakah variabel lingkungan yang ditandai sebagai “sensitif” terpengaruh?

Saat ini, penyelidikan belum menemukan bukti bahwa variabel lingkungan yang ditandai sebagai “sensitif” telah diakses. Variabel jenis ini disimpan dengan cara khusus untuk mencegah pembacaan. Pelaku menggunakan variabel lingkungan yang tidak diberi label sebagai “sensitif”; melalui metode enumerasi, penyerang berhasil memperoleh hak akses tambahan dari sana.

Bagaimana pelanggan Vercel dapat memastikan apakah mereka terpengaruh?

Jika Anda tidak menerima kontak langsung dari Vercel, Vercel menyatakan tidak ada alasan saat ini untuk meyakini bahwa kredensial atau data pribadi pelanggan yang terkait telah disusupi. Vercel menyarankan agar semua pelanggan secara proaktif meninjau log aktivitas, melakukan rotasi variabel lingkungan yang tidak diberi label sebagai sensitif, serta mengaktifkan fitur variabel lingkungan sensitif dengan benar. Jika Anda memerlukan dukungan teknis, hubungi Vercel melalui vercel.com/help.