Northflank sufrió un breach: los clientes deben asumir que sus environment variables fueron descifradas y sus API keys de IA ya se están usando
Wiz le avisó a Northflank, la plataforma cloud para deployar apps, contenedores, bases y aplicaciones de IA, el 30 de octubre a las 11:43 UTC. La empresa aplicó parches de network policy esa misma tarde y después confirmó que varios clientes reportaron uso no autorizado de sus API keys de IA. No dijo cómo entró el atacante ni cuántas cuentas están afectadas, pero pidió asumir que las environment variables fueron descifradas y robadas. Según Wiz, Northflank es uno de al menos nueve incidentes contra plataformas de desarrollo de IA en octubre; en dos de los casos que investigó, credenciales robadas hicieron unas 2,5 millones de llamadas a Amazon Bedrock, por alrededor de 100.000 dólares. Ojo con esto: rotá todos los secrets (workloads, secret groups, global secrets), apagá el acceso público a los add-ons y revisá el billing de tus proveedores de IA.
Trigger.dev, la plataforma para agentes de IA y workflows durables, confirma acceso no autorizado a environment variables de clientes
Trigger.dev reveló el 1 de noviembre que un atacante accedió a las environment variables de «un subconjunto de organizaciones», ya notificadas. La empresa dice que el exploit está bloqueado, pero no explicó el vector y remitió a un incident report que todavía no publicó. Es el mismo patrón que Northflank, con días de diferencia: plataformas que guardan secrets de agentes (API keys de LLMs, tokens de Stripe, Supabase o Slack) pasan a ser un blanco único con muchas víctimas detrás. Si usás Trigger en la nube, rotá las credenciales guardadas ahí aunque no te hayan notificado y revisá las integraciones por webhook. El proyecto es open source, así que el self-hosting es una alternativa.
DBHub (CVSS 6.1): el modo read-only del servidor MCP se esquiva en MySQL y MariaDB con «--» sin espacio
El modo read-only de @bytebase/dbhub, el servidor MCP que expone bases de datos a agentes de IA, se puede saltear en los conectores de MySQL y MariaDB. El parser de DBHub trata cualquier -- como inicio de comentario, pero MySQL solo lo hace si después viene un espacio o fin de línea. Con un payload como SELECT 1--1;DROP TABLE victim, DBHub ve un único SELECT y lo aprueba, mientras que MySQL ejecuta SELECT 1 - -1 y después el DROP TABLE, porque el pool corre con multipleStatements: true y recibe el string original. Es decir, un prompt injection que llegue al agente puede borrar tablas en una base que vos creías protegida. Corregido en 0.22.6; mientras tanto, dale al agente un usuario de base con permisos de solo lectura reales en vez de confiar en el filtro.
CrowdStrike: Vapor Panda usó el framework de agentes ARTEX AI para atacar a más de 200 organizaciones en 14 países
Según CrowdStrike, el grupo vinculado a China Vapor Panda corrió desde el 17 de octubre una campaña con ARTEX AI, una suite de pentesting multi-agente que nació open source y se cerró después de usarse en ataques reales. Los agentes hicieron reconocimiento, explotación, web shells y robo de credenciales, con operadores dando órdenes en chino en los puntos de decisión; para coordinar planificación y workers usaron DeepSeek y un modelo comercial no identificado, y en una intrusión consumieron más de 1.400 millones de tokens de input. Hubo al menos nueve organizaciones comprometidas (telcos en EE.UU. y Bélgica, gobiernos de Grecia, Medio Oriente y Latinoamérica, farmacéuticas de EE.UU.). En el breach de DIVD, el agente encadenó un zero-day de Zammad con un LPE y llegó a root en 12 minutos. Un detalle revelador: los operadores le ordenaron esquivar los hosts protegidos por EDR, y el EDR igual frenó parte del avance.
Chainalysis confirma una intrusión con «offensive agentic techniques» que expuso nombres, emails y roles de usuarios
La firma de análisis blockchain Chainalysis informó que un actor externo usó técnicas agénticas ofensivas para entrar a sistemas y herramientas internas, actividad detectada a principios de octubre. Quedaron expuestos user IDs, nombres completos, emails y roles organizacionales de los usuarios provisionados; la empresa dice que no ve acceso a contenido de investigaciones, credenciales ni session tokens. No reveló el vector ni si se usó un framework como ARTEX o agentes propios. Es la segunda víctima pública de la semana que atribuye un breach a agentes ofensivos. Si sos cliente: activá 2FA y desconfiá de cualquiera que se haga pasar por Chainalysis ofreciendo recuperar fondos.
Mandiant y GTIG: el LLMJacking ya le factura a las víctimas más de 100.000 dólares por día en modelos premium
Un reporte de Mandiant y Google Threat Intelligence Group describe cómo los atacantes secuestran el acceso corporativo a LLMs: API keys robadas con las que generan keys nuevas y activan servicios en el proyecto cloud de la víctima, service account keys mal configuradas (el caso de UNC6993, 100.000 dólares en cargos), suscripciones Pay-As-You-Go a modelos premium con service accounts efímeras para esquivar rate limits, y un portal falso que pedía pegar un JSON con un access token activo, salteando password y MFA. Hay cargos de más de 100.000 dólares por día y casos que llegaron al millón antes de revocar el acceso, más un mercado de reventa: el router Jet Night hizo más de 500.000 llamadas en menos de ocho horas con keys robadas. La guía de Google: secrets en un gestor centralizado con rotación, least privilege en service accounts y secret scanning automatizado en los repos.
Tendencias Destacadas
Las API keys de IA son el nuevo botín: Northflank y Trigger.dev perdieron environment variables con días de diferencia, Wiz contó nueve incidentes contra plataformas de desarrollo de IA solo en octubre, y Mandiant muestra que esas keys se monetizan enseguida, con LLMJacking y reventa. Un secret de LLM filtrado ya no es un riesgo teórico; es una factura que llega en horas.
Los agentes ofensivos pasaron del paper a la atribución: CrowdStrike nombra a Vapor Panda y ARTEX, y Chainalysis declara «offensive agentic techniques» en su propio breach. Del otro lado, un agente defensivo con acceso a datos necesita permisos reales y no filtros: el bypass de DBHub demuestra que un parser de SQL no reemplaza un usuario read-only.
Northflank breached: customers should assume their environment variables were decrypted, and their AI API keys are already being abused
Wiz alerted Northflank, the cloud platform for deploying apps, containers, databases and AI applications, on 30 October at 11:43 UTC. The company shipped network-policy patches that afternoon and then confirmed that several customers reported unauthorized use of their AI API keys. It has not said how the attacker got in or how many accounts are affected, but it told customers to assume their environment variables were decrypted and stolen. According to Wiz, Northflank is one of at least nine incidents against AI development platforms in October; in two cases it investigated, stolen credentials made about 2.5 million Amazon Bedrock calls worth roughly $100,000. Rotate every secret (workloads, secret groups, global secrets), turn off public access to add-ons and review your AI providers' billing logs.
Trigger.dev, the platform for durable AI agents and workflows, confirms unauthorized access to customer environment variables
Trigger.dev disclosed on 1 November that an attacker accessed the environment variables of «a subset of organizations», which have been notified. The company says the exploit is blocked but has not described the vector, pointing instead to an incident report it has not yet published. It is the same pattern as Northflank, days apart: platforms that store agent secrets (LLM API keys, Stripe, Supabase or Slack tokens) become a single target with many victims behind it. If you use Trigger's cloud, rotate the credentials stored there even if you were not notified, and review webhook integrations. The project is open source, so self-hosting is an option.
DBHub (CVSS 6.1): the MCP server's read-only mode is bypassed on MySQL and MariaDB with a «--» and no space
The read-only mode of @bytebase/dbhub, the MCP server that exposes databases to AI agents, can be bypassed on its MySQL and MariaDB connectors. DBHub's parser treats any -- as the start of a comment, but MySQL only does so when it is followed by whitespace or end of line. With a payload like SELECT 1--1;DROP TABLE victim, DBHub sees a single SELECT and approves it, while MySQL runs SELECT 1 - -1 and then the DROP TABLE, because the pool runs with multipleStatements: true and receives the original string. A prompt injection that reaches the agent can therefore drop tables in a database you thought was protected. Fixed in 0.22.6; meanwhile, give the agent a database user with real read-only grants instead of relying on the filter.
CrowdStrike: Vapor Panda used the ARTEX AI agent framework to attack more than 200 organizations in 14 countries
According to CrowdStrike, China-linked Vapor Panda has run a campaign since 17 October using ARTEX AI, a multi-agent pentesting suite that started as open source and went proprietary after it was used in real attacks. The agents handled recon, exploitation, web shells and credential theft, with operators giving instructions in Chinese at decision points; planning and worker agents were coordinated with DeepSeek and an unidentified commercial model, and one intrusion consumed more than 1.4 billion input tokens. At least nine organizations were compromised (telcos in the US and Belgium, government bodies in Greece, the Middle East and Latin America, US pharmaceutical firms). In the DIVD breach, the agent chained a Zammad zero-day with an LPE and reached root in 12 minutes. Telling detail: operators told the agents to avoid EDR-protected hosts, and EDR still slowed the campaign.
Chainalysis confirms an intrusion using «offensive agentic techniques» that exposed user names, emails and roles
Blockchain analytics firm Chainalysis said an external actor used offensive agentic techniques to reach internal systems and tools, activity it detected earlier in October. Exposed data includes user IDs, full names, email addresses and organizational roles of provisioned users; the company says it sees no access to investigation content, credentials or session tokens. It has not disclosed the vector or whether a framework like ARTEX or custom agents were used. It is the second public victim this week to attribute a breach to offensive agents. If you are a customer, enable 2FA and distrust anyone posing as Chainalysis offering fund recovery.
Mandiant and GTIG: LLMJacking now bills victims more than $100,000 a day in premium-model usage
A report from Mandiant and Google Threat Intelligence Group describes how attackers hijack corporate LLM access: stolen API keys used to mint new keys and enable services in the victim's cloud project, misconfigured service-account keys (the UNC6993 case, $100,000 in charges), Pay-As-You-Go subscriptions to premium models with short-lived service accounts to dodge rate limits, and a fake portal that asked users to paste a JSON blob with a live access token, bypassing password and MFA. Charges topped $100,000 a day, with some cases reaching $1 million before access was revoked, and there is a resale market: the Jet Night router made more than 500,000 calls in under eight hours on stolen keys. Google's guidance: centralized secrets management with rotation, least privilege for service accounts, and automated secret scanning in repos.
Notable Trends
AI API keys are the new loot: Northflank and Trigger.dev lost environment variables days apart, Wiz counted nine incidents against AI development platforms in October alone, and Mandiant shows those keys are monetized right away through LLMJacking and resale. A leaked LLM secret is no longer a theoretical risk; it is an invoice that arrives within hours.
Offensive agents moved from papers to attribution: CrowdStrike names Vapor Panda and ARTEX, and Chainalysis cites «offensive agentic techniques» in its own breach. On the other side, an agent with data access needs real permissions, not filters: the DBHub bypass shows a SQL parser is no substitute for a read-only database user.
Northflank piraté : les clients doivent supposer leurs variables d'environnement déchiffrées, et leurs clés d'API d'IA sont déjà exploitées
Wiz a alerté Northflank, plateforme cloud de déploiement d'apps, conteneurs, bases et applications d'IA, le 30 octobre à 11h43 UTC. L'entreprise a déployé des correctifs de network policy dans l'après-midi, puis confirmé que plusieurs clients signalaient une utilisation non autorisée de leurs clés d'API d'IA. Elle n'a pas dit comment l'attaquant est entré ni combien de comptes sont touchés, mais demande de supposer que les variables d'environnement ont été déchiffrées et volées. Selon Wiz, Northflank fait partie d'au moins neuf incidents visant des plateformes de développement d'IA en octobre ; dans deux cas étudiés, des identifiants volés ont généré environ 2,5 millions d'appels à Amazon Bedrock, pour près de 100 000 dollars. Faites tourner tous les secrets (workloads, secret groups, global secrets), coupez l'accès public aux add-ons et vérifiez la facturation de vos fournisseurs d'IA.
Trigger.dev, plateforme d'agents d'IA et de workflows durables, confirme un accès non autorisé aux variables d'environnement de ses clients
Trigger.dev a révélé le 1er novembre qu'un attaquant a accédé aux variables d'environnement d'«un sous-ensemble d'organisations», déjà notifiées. L'entreprise dit que l'exploit est bloqué mais n'a pas décrit le vecteur, renvoyant à un rapport d'incident pas encore publié. Même schéma que Northflank, à quelques jours d'écart : les plateformes qui stockent les secrets des agents (clés d'API de LLM, tokens Stripe, Supabase ou Slack) deviennent une cible unique avec de nombreuses victimes derrière. Si vous utilisez le cloud de Trigger, faites tourner les identifiants qui y sont stockés même sans notification, et vérifiez les intégrations par webhook. Le projet est open source : l'auto-hébergement reste possible.
DBHub (CVSS 6.1) : le mode read-only du serveur MCP se contourne sur MySQL et MariaDB avec «--» sans espace
Le mode read-only de @bytebase/dbhub, le serveur MCP qui expose des bases de données aux agents d'IA, se contourne sur ses connecteurs MySQL et MariaDB. Le parser de DBHub traite tout -- comme un début de commentaire, alors que MySQL n'en fait un commentaire que s'il est suivi d'un espace ou d'une fin de ligne. Avec un payload comme SELECT 1--1;DROP TABLE victim, DBHub voit un seul SELECT et l'accepte, tandis que MySQL exécute SELECT 1 - -1 puis le DROP TABLE, car le pool tourne avec multipleStatements: true et reçoit la chaîne d'origine. Une prompt injection qui atteint l'agent peut donc supprimer des tables d'une base qu'on croyait protégée. Corrigé en 0.22.6 ; en attendant, donnez à l'agent un utilisateur de base avec de vrais droits en lecture seule plutôt que de compter sur le filtre.
CrowdStrike : Vapor Panda a utilisé le framework d'agents ARTEX AI contre plus de 200 organisations dans 14 pays
Selon CrowdStrike, le groupe lié à la Chine Vapor Panda mène depuis le 17 octobre une campagne avec ARTEX AI, une suite de pentest multi-agents d'abord open source puis rendue propriétaire après son usage dans de vraies attaques. Les agents ont mené reconnaissance, exploitation, web shells et vol d'identifiants, les opérateurs donnant leurs ordres en chinois aux points de décision ; la planification et les workers étaient coordonnés via DeepSeek et un modèle commercial non identifié, et une intrusion a consommé plus de 1,4 milliard de tokens d'entrée. Au moins neuf organisations ont été compromises (opérateurs télécoms aux États-Unis et en Belgique, administrations en Grèce, au Moyen-Orient et en Amérique latine, laboratoires pharmaceutiques américains). Dans le breach de DIVD, l'agent a enchaîné un zero-day Zammad et un LPE pour atteindre root en 12 minutes. Détail révélateur : les opérateurs ont demandé d'éviter les hôtes protégés par un EDR, qui a tout de même freiné la campagne.
Chainalysis confirme une intrusion par «offensive agentic techniques» qui a exposé noms, emails et rôles d'utilisateurs
La société d'analyse blockchain Chainalysis indique qu'un acteur externe a utilisé des techniques agentiques offensives pour atteindre des systèmes et outils internes, activité détectée début octobre. Sont exposés les identifiants, noms complets, adresses email et rôles organisationnels des utilisateurs provisionnés ; l'entreprise dit ne voir aucun accès aux contenus d'enquête, identifiants ou session tokens. Elle n'a pas révélé le vecteur ni précisé si un framework comme ARTEX ou des agents maison ont servi. C'est la deuxième victime publique de la semaine à attribuer un breach à des agents offensifs. Clients : activez la 2FA et méfiez-vous de quiconque se fait passer pour Chainalysis en proposant de récupérer des fonds.
Mandiant et GTIG : le LLMJacking facture désormais aux victimes plus de 100 000 dollars par jour en modèles premium
Un rapport de Mandiant et du Google Threat Intelligence Group décrit le détournement des accès LLM d'entreprise : clés d'API volées servant à créer de nouvelles clés et à activer des services dans le projet cloud de la victime, clés de service account mal configurées (le cas UNC6993, 100 000 dollars de frais), abonnements Pay-As-You-Go à des modèles premium avec des service accounts éphémères pour contourner les rate limits, et un faux portail demandant de coller un JSON contenant un access token actif, contournant mot de passe et MFA. Les frais dépassent 100 000 dollars par jour, certains cas atteignant le million avant révocation, et un marché de revente existe : le routeur Jet Night a fait plus de 500 000 appels en moins de huit heures avec des clés volées. Recommandations de Google : gestion centralisée des secrets avec rotation, moindre privilège pour les service accounts et secret scanning automatisé des dépôts.
Tendances Notables
Les clés d'API d'IA sont le nouveau butin : Northflank et Trigger.dev ont perdu des variables d'environnement à quelques jours d'écart, Wiz a compté neuf incidents contre des plateformes de développement d'IA rien qu'en octobre, et Mandiant montre que ces clés sont monétisées aussitôt via LLMJacking et revente. Un secret LLM divulgué n'est plus un risque théorique : c'est une facture qui arrive en quelques heures.
Les agents offensifs passent du papier à l'attribution : CrowdStrike nomme Vapor Panda et ARTEX, et Chainalysis évoque des «offensive agentic techniques» dans son propre breach. De l'autre côté, un agent ayant accès aux données a besoin de vrais droits, pas de filtres : le contournement de DBHub montre qu'un parser SQL ne remplace pas un utilisateur en lecture seule.