Bulut uygulama platformu Northflank, 30 Ekim 2026'da duyurduğu güvenlik olayının ardından müşterilerinden platformda saklanan tüm ortam değişkenlerinin çözüldüğünü varsaymalarını ve tüm anahtarları yenilemelerini istedi. Şirketin durum sayfasına göre kullanıcılar, platforma girdikleri yapay zekâ API anahtarlarının izinsiz kullanıldığını bildirdi. Ortam değişkenleri (uygulamanın şifre ve anahtarları sakladığı ayar değerleri) genellikle veritabanı şifrelerini, bulut erişim bilgilerini ve API anahtarlarını (bir hizmete programla erişmeyi sağlayan gizli anahtarlar) içeriyor. Bu bilgilerin başkasının eline geçmesi yetkisiz erişime ve beklenmedik faturalara yol açabiliyor.
Olay nasıl gelişti
Northflank'in durum sayfasındaki güncellemelere göre süreç şöyle ilerledi (saatler UTC):
- 30 Ekim 2026 saat 11.43'te (14.43 TSİ) bulut güvenliği şirketi Wiz'den bir tehdit uyarısı geldi, Northflank mühendisleri bir dakika sonra incelemeye başladı.
- 12.02, 12.50 ve 13.05'te ağ politikası yamaları uygulandı; 13.00'te Wiz'in olay müdahale ekibinden destek istendi.
- 13.58'de şirket, tüm ortam değişkenlerinin çözüldüğünün varsayılmasını ve tüm anahtarların devre dışı bırakılıp yenilenmesini istedi.
- 15.12'de PostgreSQL ve MongoDB eklentileri için sır yenileme (eski anahtarı iptal edip yenisini üretme) açıldı. Şirket, eklentilerde herkese açık erişimin kapatılmasını önerdi ve birden çok kullanıcının yapay zekâ anahtarlarının kullanıldığını doğruladığını aktardı.
- 23.38'de Northflank, kullanıcıların platforma verdikleri yapay zekâ API anahtarlarının izinsiz kullanıldığını bildirdiğini duyurdu. Şirkete göre bu bildirimler, yapay zekâ kimlik bilgilerini hedef alan daha geniş bir saldırı örüntüsüyle uyumlu olabilir.
- 31 Ekim 2026 saat 01.04'te ücretsiz kullanıcılar dahil tüm müşterilere denetim kayıtları açıldı. Gün içinde MySQL, Redis, MinIO ve RabbitMQ eklentileri için de sır yenileme sağlandı.
- 1 Kasım 2026 akşamı itibarıyla durum sayfası olayı «tespit edildi» aşamasında gösteriyor. Ağ, sertifika, servis, eklenti, iş, derleme ve günlük bileşenleri büyük kesinti durumunda; Northflank uygulaması ve API'si çalışıyor.
Neler açıklanmadı
BleepingComputer'ın 31 Ekim 2026 tarihli haberine göre Northflank, saldırganların sisteme nasıl girdiğini, kaç müşterinin etkilendiğini ve yapay zekâ anahtarları dışında başka kimlik bilgilerinin ele geçirilip kullanılıp kullanılmadığını açıklamadı. BleepingComputer, sorularına yanıt alamadığını belirtti.
Neden önemli
Wiz'in 30 Ekim 2026'da yayımladığı analize göre Ekim 2026'da aralarında Railway, OpenCode, Warp, Lightning AI ve Northflank'in de bulunduğu en az dokuz yapay zekâ geliştirici platformu güvenlik olayı bildirdi. Wiz bu döneme «Black October» adını verdi ve saldırıların saklanan ortam değişkenlerini, özellikle yapay zekâ servislerine erişim veren anahtarları hedef aldığını belirtti. Çalınan anahtarla başkası adına yapay zekâ modeli kullanmaya LLMjacking deniyor.
Wiz'in genel bağlam olarak paylaştığı iki kurumsal vakada yaklaşık 800 bin ve 1,7 milyon Amazon Bedrock çağrısı yapıldı, liste fiyatıyla 100 bin doları aşan kullanım oluştu. Wiz bu iki vakayı Northflank ile ilişkilendirmedi ve olayların tek bir saldırgana ait olduğunu da doğrulamadı.
Geliştirici altyapısında saklanan erişim anahtarlarıyla ilgili benzer bir uyarı daha önce Nvidia Brev güvenlik olayında gündeme gelmişti.
Türkiye açısından
Northflank'in açıklamalarında etkilenen müşteri sayısı ya da ülke dağılımı yer almıyor; Türkiye'ye ilişkin bir bilgi yok. Siber Güvenlik Başkanlığı'nın (SGB) güvenlik bildirimlerinde 1 Kasım 2026 itibarıyla Northflank ile ilgili bir kayıt bulunmuyor. Northflank kullanan Türkiye'deki geliştiriciler ve şirketler için de şirketin yenileme çağrısı geçerli.
Ne yapmalısınız
- Northflank'teki iş yüklerinde, sır gruplarında ve genel sırlarda tanımlı tüm kimlik bilgilerini yenileyin.
- API anahtarlarını önce anahtarı veren sağlayıcının panelinden iptal edin, yenisini üretin, ardından Northflank'te güncelleyin.
- Yapay zekâ sağlayıcınızın kullanım ve fatura kayıtlarını olağandışı hareketlere karşı inceleyin; şüpheli kullanımı hem sağlayıcıya hem Northflank desteğine bildirin.
- Veritabanı ve servis eklentilerinde herkese açık erişim açıksa kapatın.
- Northflank'in açtığı denetim kayıtlarından hesabınızdaki hareketleri kontrol edin.
Kaynaklar
- Northflank — Durum sayfası, güvenlik olayı güncellemeleri (30–31 Ekim 2026)
- BleepingComputer — Northflank security breach leads to abuse of customers' AI API keys (31 Ekim 2026)
- Wiz — Black October for AI Developer Platforms (30 Ekim 2026)
Kapak görseli (temsili): «Virginia Tech - data center» — Christopher Bowns, CC BY-SA 2.0, Wikimedia Commons (1200×675 kırpıldı).
Sık sorulan sorular
Northflank kullanmıyorsam etkilenir miyim?
Northflank'in açıklaması kendi platformunda saklanan ortam değişkenlerini kapsıyor. Wiz'e göre Ekim 2026'da başka yapay zekâ geliştirici platformları da benzer olaylar bildirdi; bu nedenle kullandığınız platformların duyurularını takip etmeniz ve anahtarlarınızı düzenli yenilemeniz önerilir.
Anahtarımın kullanıldığını nasıl anlarım?
Northflank, yapay zekâ sağlayıcınızın kullanım ve fatura kayıtlarını beklenmedik hareketlere karşı incelemenizi öneriyor. Sağlayıcı panelindeki kullanım grafiklerinde ve API çağrı kayıtlarında sizin yapmadığınız ani artışlar bir işaret olabilir.
Türkiye'den etkilenen var mı?
Northflank etkilenen müşteri sayısını ya da ülke dağılımını açıklamadı. SGB'nin güvenlik bildirimlerinde 1 Kasım 2026 itibarıyla Northflank ile ilgili bir kayıt bulunmuyor.
