Vercel compromis : un outil d'IA tiers, Context.ai, pointé dans le vol d'identifiants

Vercel, la plateforme de déploiement web, a été victime d'une intrusion ayant conduit au vol d'identifiants clients. L'incident, signalé le 19 avril, a débuté par la compromission d'un outil d'intelligence artificielle tiers, Context.ai, utilisé par l'entreprise. Vercel a initialement identifié un nombre limité de comptes clients touchés, qu'elle a contactés pour leur recommander de renouveler immédiatement leurs identifiants. L'entreprise assure que les utilisateurs non contactés n'ont, a priori, pas à s'inquiéter.

L'enquête interne se poursuit, mais Vercel a déjà révélé le point de vulnérabilité : l'outil AI Context.ai. Cette compromission initiale a permis aux attaquants d'accéder à des identifiants Vercel. En réponse, la société invite tous ses utilisateurs à vérifier l'activité de leur compte et à renouveler leurs variables d'environnement, tout en rappelant l'existence d'une fonctionnalité permettant de marquer une variable comme 'sensible' pour la stocker de manière illisible.

Cet incident met en lumière les risques de sécurité liés à l'intégration d'outils d'IA tiers dans l'infrastructure d'une entreprise. Bien que l'impact semble pour l'instant limité, il soulève des questions sur la gestion de la chaîne d'approvisionnement logicielle et la sécurité des identifiants dans les environnements de développement cloud. La pression est désormais sur Vercel pour mener son enquête à bien et rassurer sa clientèle sur la robustesse de ses mesures de sécurité face à ce type d'attaque par vecteur tiers.