Ekim 2026'de 9 AI Platformu Hacklendi: Anahtarlarını Şimdi Değiştir

Ekim 2026'de en az dokuz AI geliştirici platformu güvenlik olayı yaşadı. Wiz araştırma ekibi bunu "Black October" olarak adlandırdı çünkü normalde bir platform ihlali ayın en büyük haberi olurken, bu sefer dokuz tane oldu ve kimse bunları birbirine bağlamıyordu.

Saldırganların hedefi ortaktı: ortam değişkenleri (environment variables), özellikle de AI modellerini açan API anahtarları. OpenAI, Anthropic, AWS Bedrock ve benzeri servisler için saklanan anahtarlar çalınıyor, 30 dakika içinde test ediliyor, sonra karaborsa satılıyordu.

Eğer sen de bir hosting platformu, development ortamı ya da dashboard'a LLM API anahtarı yapıştırdıysan, ki çoğumuz hızlı demo çalıştırmak için bunu yaptık, bugün değiştirmen gerekiyor. Sadece rotasyonu yapmak yeterli değil; aynı anda harcama limitini (spend cap) koy ve anahtarın erişim kapsamını dar tut. Örneğin OpenAI API'nin sadece belirli modellere ve endpoint'lere erişmesi için izinleri sınırlandır.

Pratik bir kontrol listesi: Tüm dev platformlarında, CI/CD pipeline'larında, test ortamlarında hangi API anahtarlarının olduğunu tara. Hangisi gereksiz ya da eski, onu sil. Aktif olanların her birini döndür. Her anahtara bir harcama limiti ve role-based erişim kısıtlaması ekle. Eğer mümkünse API key yerine OAuth ya da service account kullan.

Bu ayın olayları gösteriyor ki, "hızlı çalıştırmak" için güvenlik köşesi kesme alışkanlığı maliyetli olabiliyor. Şimdi değiştir, sonra mimari iyileştir.