A startup de avaliação de IA Braintrust confirma a violação e diz a cada cliente para alternar chaves confidenciais

A startup de avaliação de IA Braintrust instou os clientes a revogar e substituir suas chaves de API após uma violação anterior dos segredos do cliente.

De acordo com um e-mail enviado aos clientes na segunda-feira e visto pelo TechCrunch, a startup confirmou “acesso não autorizado” em uma de suas contas em nuvem da Amazon Web Services, que continha chaves de API usadas pelos clientes para acessar modelos de IA baseados em nuvem.

“Entramos em comunicação com um cliente impactado e até o momento não encontramos evidências de exposição mais ampla”, dizia o e-mail.

O e-mail pedia que “cada cliente alternasse” qualquer uma das chaves de API que eles armazenam no Braintrust.

Confiança cerebral divulgado o incidente de segurança em seu site na terça-feira. “O incidente foi contido e, enquanto isso, bloqueamos a conta comprometida, auditamos e restringimos o acesso aos sistemas relacionados e alternamos os segredos internos.”

A empresa disse que a causa da violação está sob investigação.

O porta-voz da Braintrust, Martin Bergman, disse ao TechCrunch que a empresa enviou o e-mail aos clientes “com muita cautela” e que “confirmou um incidente de segurança, mas não há evidências de violação no momento”.

Braintrust fornece uma plataforma projetada para empresas monitorarem modelos e produtos de IA. Fundador e CEO Ankur Goyal disse anteriormente ao TechCrunch que Braintrust é como um “sistema operacional para engenheiros que criam software de IA”. A inicialização arrecadou US$ 80 milhões em uma rodada de financiamento da Série B em fevereiro, que avaliou a empresa em US$ 800 milhões.

Jaime Blasco, cofundador da startup de segurança cibernética Empurre a segurança que recebeu um alerta de violação por e-mail da Braintrust, disse ao TechCrunch que o incidente poderia ter “implicações posteriores para os clientes afetados”, como empresas de IA que dependem da Braintrust.

Os hackers frequentemente têm como alvo contas corporativas em serviços em nuvem ou plataformas de terceiros como uma forma eficaz de roubar segredos, como chaves de API. Depois que os hackers obtêm as chaves de API, eles podem fazer login nos sistemas da empresa ou dos clientes, aparecendo como se fossem usuários legítimos, sem precisar invadir os sistemas da empresa alvo.

CircleCI, uma empresa que fornece produtos de desenvolvimento para engenheiros de software, foi atingido por uma violação de dados na nuvem semelhante em 2023, e da mesma forma pediu a seus clientes que transferissem “todo e qualquer segredo” que armazenassem com a empresa.

Mais recentemente, uma agência de segurança cibernética da UE disse hackers conseguiram roubar 92 gigabytes de dados de uma conta comprometida da Amazon Web Services (AWS) usada pela Comissão Europeia. A violação afetou outras 29 entidades da UE e os dados de dezenas de clientes internos da Comissão Europeia.