Northflank 於 2026 年 10 月 30 日披露安全事故，並提醒客戶假設存放喺平台嘅環境變數已被解密。其後有客戶回報，存放喺 Northflank 嘅 AI API 密鑰遭人未經授權使用。對受影響客戶嚟講，首要行動係到發出憑證嘅服務商處撤銷舊密鑰，再建立新密鑰，並更新 Northflank 入面嘅相關工作負載；淨係喺平台改動密鑰值，並不足以令舊憑證失效。512

事故時間線：10 月 30 日（UTC）

Northflank 事故時間線顯示，雲端保安公司 Wiz 於 11:43 發出威脅警報，Northflank 工程師於 11:44 開始檢視；平台其後於 12:02、12:50 及 13:05 推出網絡政策修補，並於 13:00 向 Wiz 要求事故應變支援。412

當日稍後，Northflank 提醒客戶假設所有環境變數都已被解密，並停用或輪替相關密鑰。公司其後亦確認收到客戶回報，指供應予平台使用的 AI API 密鑰遭未授權使用；Northflank 建議客戶到憑證發行商處撤銷舊憑證、建立替代憑證，並檢查 AI 服務商的用量及帳單紀錄。15

要留意，要求客戶假設所有環境變數已被解密，是一項預防性處理原則，唔等於已有證據證明每位客戶的每項密鑰都被盜。客戶回報 AI 密鑰遭濫用，則是較具體的未授權活動資料；但目前公開更新仍未交代憑證外洩的完整範圍。15

目前仍未有答案的問題

截至 11 月 1 日可查閱的事故更新及報道，未有指出攻擊者如何進入系統，亦未公布受影響客戶數目。現有資料同樣未能確認，除 AI API 密鑰以外，其他類型憑證有否遭人濫用。因此，應認真看待 Northflank 建議全面輪替的做法，但唔好將預防性警告當成事故已完整查明的證明。7

今次事故亦發生喺外界關注 AI 開發平台攻擊的時期。Wiz 形容一系列具代理能力的攻擊，可能導致 LLMjacking（盜用他人憑證使用大型語言模型服務）；不過，現有報道未能證明所有相關事故都由同一團體造成，亦未證明這個更廣泛的攻擊趨勢可以解釋 Northflank 事故。89

Northflank 已提供哪些應對功能？

Northflank 已為所有客戶開啟稽核日誌，並陸續提供資料庫及其他附加元件的密鑰輪替功能。狀態更新列出的服務包括 PostgreSQL、MongoDB、MySQL、Redis、MinIO 及 RabbitMQ。738

有輪替功能可用，唔代表平台已自動替客戶換好憑證；客戶仍要自行檢查及執行輪替，並確認舊密鑰已失效。738

Northflank 客戶應該點做？

1. 先喺憑證發行商處撤銷舊憑證，再建立新憑證。 檢查存放喺 Northflank 的 AI 服務密鑰、雲端憑證、資料庫密碼、存取 token 及其他機密資料。到發行商處撤銷尤其重要：只喺平台改值，唔會自動令舊密鑰失效。Northflank 亦明確建議客戶向憑證發行商撤銷現有憑證。5
2. 盤點所有存放密鑰的位置。 檢查各個工作負載、secret groups 同 global secrets，唔好只留意 AI 密鑰；亦要將新憑證更新至依賴它們的服務及工作負載。
3. 輪替附加元件憑證。 如有使用 PostgreSQL、MongoDB、MySQL、Redis、MinIO 或 RabbitMQ，透過現有控制項執行輪替，並確認舊憑證已無法使用。38
4. 檢查用量、帳單及存取日誌。 查看 Northflank 稽核日誌、AI 服務商用量和帳單，以及相關雲端或資料庫日誌，留意無法解釋的活動。Northflank 建議客戶檢查 AI 用量及帳單，並回報可疑使用情況。538
5. 關閉附加元件不必要的公開存取。 Northflank 的事故指引建議，如已啟用附加元件公開存取，可考慮將其關閉。這屬額外防護，唔可以代替撤銷及輪替憑證。4
6. 留意後續事故更新。 網絡修補及新提供的客戶工具都係應對措施，但截至現有報道，事故入口及受影響客戶範圍仍未清楚。712

Northflank 於 2026 年 10 月 30 日披露安全事故，並提醒客戶假設存放喺平台嘅環境變數已被解密。其後有客戶回報，存放喺 Northflank 嘅 AI API 密鑰遭人未經授權使用。對受影響客戶嚟講，首要行動係到發出憑證嘅服務商處撤銷舊密鑰，再建立新密鑰，並更新 Northflank 入面嘅相關工作負載；淨係喺平台改動密鑰值，並不足以令舊憑證失效。512

事故時間線：10 月 30 日（UTC）

Northflank 事故時間線顯示，雲端保安公司 Wiz 於 11:43 發出威脅警報，Northflank 工程師於 11:44 開始檢視；平台其後於 12:02、12:50 及 13:05 推出網絡政策修補，並於 13:00 向 Wiz 要求事故應變支援。412

當日稍後，Northflank 提醒客戶假設所有環境變數都已被解密，並停用或輪替相關密鑰。公司其後亦確認收到客戶回報，指供應予平台使用的 AI API 密鑰遭未授權使用；Northflank 建議客戶到憑證發行商處撤銷舊憑證、建立替代憑證，並檢查 AI 服務商的用量及帳單紀錄。15

要留意，要求客戶假設所有環境變數已被解密，是一項預防性處理原則，唔等於已有證據證明每位客戶的每項密鑰都被盜。客戶回報 AI 密鑰遭濫用，則是較具體的未授權活動資料；但目前公開更新仍未交代憑證外洩的完整範圍。15

目前仍未有答案的問題

截至 11 月 1 日可查閱的事故更新及報道，未有指出攻擊者如何進入系統，亦未公布受影響客戶數目。現有資料同樣未能確認，除 AI API 密鑰以外，其他類型憑證有否遭人濫用。因此，應認真看待 Northflank 建議全面輪替的做法，但唔好將預防性警告當成事故已完整查明的證明。7

今次事故亦發生喺外界關注 AI 開發平台攻擊的時期。Wiz 形容一系列具代理能力的攻擊，可能導致 LLMjacking（盜用他人憑證使用大型語言模型服務）；不過，現有報道未能證明所有相關事故都由同一團體造成，亦未證明這個更廣泛的攻擊趨勢可以解釋 Northflank 事故。89

Northflank 已提供哪些應對功能？

Northflank 已為所有客戶開啟稽核日誌，並陸續提供資料庫及其他附加元件的密鑰輪替功能。狀態更新列出的服務包括 PostgreSQL、MongoDB、MySQL、Redis、MinIO 及 RabbitMQ。738

有輪替功能可用，唔代表平台已自動替客戶換好憑證；客戶仍要自行檢查及執行輪替，並確認舊密鑰已失效。738

Northflank 客戶應該點做？

1. 先喺憑證發行商處撤銷舊憑證，再建立新憑證。 檢查存放喺 Northflank 的 AI 服務密鑰、雲端憑證、資料庫密碼、存取 token 及其他機密資料。到發行商處撤銷尤其重要：只喺平台改值，唔會自動令舊密鑰失效。Northflank 亦明確建議客戶向憑證發行商撤銷現有憑證。5
2. 盤點所有存放密鑰的位置。 檢查各個工作負載、secret groups 同 global secrets，唔好只留意 AI 密鑰；亦要將新憑證更新至依賴它們的服務及工作負載。
3. 輪替附加元件憑證。 如有使用 PostgreSQL、MongoDB、MySQL、Redis、MinIO 或 RabbitMQ，透過現有控制項執行輪替，並確認舊憑證已無法使用。38
4. 檢查用量、帳單及存取日誌。 查看 Northflank 稽核日誌、AI 服務商用量和帳單，以及相關雲端或資料庫日誌，留意無法解釋的活動。Northflank 建議客戶檢查 AI 用量及帳單，並回報可疑使用情況。538
5. 關閉附加元件不必要的公開存取。 Northflank 的事故指引建議，如已啟用附加元件公開存取，可考慮將其關閉。這屬額外防護，唔可以代替撤銷及輪替憑證。4
6. 留意後續事故更新。 網絡修補及新提供的客戶工具都係應對措施，但截至現有報道，事故入口及受影響客戶範圍仍未清楚。712