METR bị đánh cắp khóa API, bị sử dụng trái phép tín dụng AI
"Threat actors stole an API key from the AI model evaluator METR, which was then used to consume approximately $600,000 in public AI model credits. The incident highlights credential theft and unauthorized API access as the primary impact; no CVE or software patch is mentioned."
Tác động chủ yếu là đánh cắp thông tin xác thực, truy cập API trái phép và lạm dụng tài nguyên tính phí; không có CVE hay bản vá phần mềm được đề cập.
Có thể gây thiệt hại chi phí trực tiếp do tiêu thụ tín dụng AI, đồng thời làm gián đoạn vận hành dịch vụ và tăng nhu cầu kiểm soát truy cập.
Tổ chức đánh giá mô hình AI METR cho biết một API key đã bị đánh cắp và sau đó bị dùng để tiêu thụ khoảng 600.000 USD tín dụng mô hình AI công khai. Sự việc cho thấy rủi ro từ đánh cắp thông tin xác thực và truy cập API trái phép, đặc biệt với các hệ thống có quyền sử dụng tài nguyên tính phí hoặc hạn mức lớn.
Theo thông tin được nêu, đây là một vụ lạm dụng quyền truy cập chứ không phải khai thác CVE hay lỗi phần mềm cụ thể. Tác động chính là thất thoát tài nguyên, gián đoạn khả năng sử dụng dịch vụ và phát sinh chi phí ngoài dự kiến.
Khuyến nghị kỹ thuật: xoay vòng API key bị ảnh hưởng, rà soát nhật ký truy cập, áp dụng giới hạn quyền tối thiểu, bật giám sát bất thường cho các lệnh gọi API và tách riêng khóa cho từng môi trường hoặc ứng dụng. Với các hệ thống AI/ML dùng tín dụng trả phí, nên thiết lập cảnh báo theo ngưỡng sử dụng để phát hiện sớm hành vi lạm dụng.