AI评测初创公司Braintrust近日向客户发出紧急通知，要求他们撤销并更换API密钥，起因是公司旗下一个亚马逊云服务（AWS）账户遭到未经授权的访问，其中存储着客户用于访问云端AI模型的API密钥。
据TechCrunch获得的一封周一发送给客户的邮件显示，Braintrust确认其AWS云账户发生了"未经授权的访问"。邮件中写道："我们已与一名受影响客户进行了沟通，目前尚未发现更大范围泄露的证据。"邮件同时要求"每位客户"对其存储在Braintrust的API密钥进行轮换。
Braintrust随后于周二在其官网正式披露了这一安全事件，声明称："事件已得到控制，与此同时，我们已锁定受损账户，对相关系统的访问权限进行了审计和限制，并对内部密钥进行了轮换。"公司表示，此次事件的具体原因仍在调查中。
Braintrust发言人Martin Bergman告诉TechCrunch，公司发出该邮件是"出于高度谨慎的考虑"，并强调"虽然确认发生了安全事件，但目前尚无数据泄露的证据"。
Braintrust是一家为企业提供AI模型与产品监控平台的初创公司。其创始人兼CEO Ankur Goyal此前曾向TechCrunch表示，Braintrust就像是"为构建AI软件的工程师打造的操作系统"。该公司于今年2月完成了8000万美元的B轮融资，估值达8亿美元。
网络安全初创公司Nudge Security联合创始人Jaime Blasco在收到Braintrust的安全事件邮件通知后告诉TechCrunch，此次事件可能对依赖Braintrust的AI公司等受影响客户产生"下游连锁影响"。
黑客频繁将企业的云服务账户或第三方平台账户作为攻击目标，以此窃取API密钥等敏感凭证。一旦黑客获取API密钥，便可伪装成合法用户登录相关公司或客户的系统，而无需直接攻破目标公司的内部防线。
2023年，为软件工程师提供开发工具的企业CircleCI也曾遭遇类似的云端数据泄露事件，同样要求客户对存储在其平台上的"所有密钥"进行轮换。
近期，欧盟网络安全机构披露，黑客通过入侵欧盟委员会使用的一个AWS账户，窃取了92GB的数据，此次事件波及另外29个欧盟机构，以及欧盟委员会数十个内部客户的数据。
Q&A
Q1：Braintrust这次安全事件具体是怎么发生的？
A：黑客对Braintrust旗下的一个亚马逊云服务（AWS）账户进行了未经授权的访问，该账户中存储着客户用于访问云端AI模型的API密钥。目前事件的具体原因仍在调查中，但Braintrust表示已锁定受损账户、限制相关系统访问权限并完成了内部密钥轮换，事件已得到控制。
Q2：API密钥泄露了会有什么风险？
A：API密钥一旦被黑客获取，对方可以伪装成合法用户直接访问相关公司或客户的系统，而不需要再次入侵目标公司的内部系统。这意味着黑客可以在不被察觉的情况下访问敏感数据或服务，对受影响客户造成潜在的安全威胁，尤其是依赖Braintrust平台的AI公司可能面临下游连锁影响。
Q3：Braintrust是做什么的？规模有多大？
A：Braintrust是一家AI评测初创公司，为企业提供监控AI模型与产品的平台，其创始人兼CEO Ankur Goyal将其定位为"为构建AI软件的工程师打造的操作系统"。公司于2025年2月完成8000万美元的B轮融资，估值达8亿美元。