Braintrust-Datenleck: Hacker erbeuten API-Keys für KI-Modelle

Die KI-Plattform Braintrust meldet einen Einbruch in einen AWS-Account. Kunden müssen ihre API-Keys für Provider wie OpenAI oder Anthropic umgehend rotieren.

Die Plattform Braintrust, ein spezialisierter Anbieter für die Evaluierung und Observability von Anwendungen auf Basis Künstlicher Intelligenz, hat einen schwerwiegenden Sicherheitsvorfall öffentlich gemacht. Unbekannte Akteure verschafften sich Zugriff auf eines der internen AWS-Konten (Amazon Web Services) des Unternehmens. In der Folge wurden API-Schlüssel kompromittiert, mit denen Kunden den Zugriff auf ihre KI-Modelle bei Drittanbietern steuern. Braintrust fordert alle betroffenen Administratoren auf, ihre hinterlegten Geheimnisse („Secrets“) sofort zu widerrufen und zu erneuern.

Kompromittierter AWS-Account ermöglichte Hackern Zugriff

Nach offiziellen Angaben von Braintrust wurde der Vorfall am 4. Mai 2026 entdeckt, nachdem das Unternehmen Berichte über verdächtiges Verhalten innerhalb seiner Infrastruktur erhalten hatte. Die Reaktion erfolgte umgehend: Bereits am 5. Mai wurden die Administratoren der Kundenorganisationen per E-Mail über das Leck informiert. In dieser Mitteilung wurden erste Indikatoren für eine Kompromittierung (Indicators of Compromise, IOCs) sowie konkrete Schritte zur Behebung des Schadens übermittelt.

Unmittelbar nach der Entdeckung sperrte Braintrust das betroffene AWS-Konto, führte Audits der damit verbundenen Systeme durch und schränkte den Zugriff auf diese weiter ein. Parallel dazu wurden interne Geheimnisse des Unternehmens rotiert und eine umfassende Untersuchung eingeleitet, um das volle Ausmaß des unbefugten Zugriffs zu verstehen. Der kompromittierte AWS-Account diente internen Systemzwecken, ermöglichte den Angreifern jedoch offenbar den Zugriff auf die Datenbank der API-Keys, die Organisationen für die Kommunikation mit ihren Large Language Models (LLMs) bei Braintrust hinterlegt hatten.

Gefährdete Infrastruktur: Der AWS-Zugang

Der betroffene AWS-Account ist zentral für die Funktionsweise der Braintrust-Plattform, da diese als Schnittstelle zwischen den Entwicklerteams und den verschiedenen KI-Modell-Providern fungiert. Da Braintrust zur Evaluierung und Überwachung von KI-Outputs genutzt wird, müssen Kunden ihre API-Schlüssel für Dienste wie OpenAI, Anthropic oder Google Vertex AI auf der Plattform hinterlegen.

Durch den Zugriff auf das interne Systemkonto konnten die Hacker potenziell die gesamte „Credential-Datenbank“ für die Ebene der Organisations-Schlüssel einsehen. Braintrust betont, dass die Untersuchung noch nicht abgeschlossen ist, empfiehlt jedoch als Vorsichtsmaßnahme allen Kunden, sämtliche Schlüssel auf Organisationsebene, die mit der Plattform verknüpft sind, auszutauschen.

Box, Cloudflare, Dropbox und Notion betroffen

Braintrust bestätigte, dass nach derzeitigem Kenntnisstand mindestens ein Kunde direkt von dem Vorfall betroffen ist. Drei weitere Kunden meldeten verdächtige Aktivitätsspitzen bei ihren KI-Providern, was auf eine unbefugte Nutzung der entwendeten API-Schlüssel hindeutet. Solche „Spikes“ entstehen typischerweise, wenn Angreifer die gestohlenen Schlüssel nutzen, um eigene rechenintensive KI-Anfragen über die Konten der Opfer abzurechnen – eine Form des digitalen Identitätsdiebstahls zur Erschleichung von Rechenleistung.

„Obwohl wir bisher keine breitere Gefährdung der Kunden identifiziert haben, informierten wir vorsorglich alle Organisations-Admins, die KI-Provider-Geheimnisse in Braintrust gespeichert haben“, erklärte das Unternehmen in einem offiziellen Sicherheitsbericht. Die Liste der potenziell gefährdeten Unternehmen ist prominent: Experten von Nudge Security weisen darauf hin, dass KI-fokussierte Unternehmen wie Box, Cloudflare, Dropbox, Notion, Ramp und Stripe Braintrust nutzen und somit ihre KI-Stacks überprüfen müssen.

Sicherheitsmaßnahmen: Schritt-für-Schritt zur Key-Rotation

Braintrust hat einen klaren Leitfaden für betroffene Administratoren veröffentlicht. Um die Sicherheit der eigenen KI-Infrastruktur wiederherzustellen, sollten Kunden folgende Schritte priorisieren:

1. Zugriff auf die Einstellungen: Administratoren müssen die Einstellungsseite auf Organisationsebene („org-level settings“) innerhalb der Braintrust-Konsole aufrufen.
2. Löschen und Widerrufen: Bestehende Geheimnisse und API-Keys für KI-Provider müssen dort gelöscht oder explizit widerrufen werden. Parallel dazu müssen diese Schlüssel auch im Dashboard des jeweiligen Providers (z. B. im OpenAI API-Dashboard) für ungültig erklärt werden.
3. Neukonfiguration: Es müssen neue API-Schlüssel beim Provider generiert und sicher in Braintrust hinterlegt werden.
4. Verifizierung: Braintrust empfiehlt, die Zeitstempel der hinterlegten Schlüssel zu prüfen, um sicherzustellen, dass die Rotation erfolgreich abgeschlossen wurde und keine alten, kompromittierten Schlüssel mehr aktiv sind.

Das neue Risiko der KI-Lieferkette

Der Vorfall bei Braintrust wirft ein Schlaglicht auf ein neues, kritisches Risiko in der Software-Lieferkette. Jaime Blasco, CTO von Nudge Security, erläuterte, dass die Bedeutung dieses Lecks weit über Braintrust selbst hinausgeht. Da Unternehmen zunehmend spezialisierte Tools für das Monitoring, die Evaluierung und das Gateway-Management ihrer KI-Modelle einsetzen, fungieren diese Tools als zentrale Speicherorte für hochsensible Anmeldedaten.

„Der Einschlagradius ist nicht Braintrust allein, sondern der gesamte KI-Stack jedes nachgelagerten Kunden“, erklärte Blasco. Er bezeichnet dieses Phänomen als „neue Form des Supply-Chain-Risikos“. Ein einziger Kompromiss bei einem SaaS-Anbieter fächert sich so auf dutzende LLM-Provider-Konten aus. Diese Entwicklung macht KI-Observability-Tools zu erstklassigen Zielen für Cyberkriminelle, da sie effektiv als „Credential Warehouses“ (Lagerhäuser für Zugangsdaten) fungieren und nun als „Tier-One-Ziele“ eingestuft werden müssen.

Braintrust setzt die Untersuchung fort und arbeitet eng mit den betroffenen Kunden zusammen, um unautorisierte Zugriffe zu stoppen. Der Vorfall unterstreicht die Notwendigkeit für Unternehmen, ihre Abhängigkeiten von Drittanbietern im KI-Sektor kritisch zu prüfen. In einer Zeit, in der API-Schlüssel den direkten Zugriff auf teure Rechenressourcen und oft auch auf sensible Unternehmensdaten ermöglichen, wird die Absicherung dieser „Secrets“ zu einer Kernaufgabe der IT-Sicherheit. Unternehmen sollten verstärkt auf Sicherheitsmechanismen wie IP-Whitelisting für API-Anfragen oder die Nutzung von kurzlebigen Service-Tokens setzen, um den Schaden bei einem potenziellen Leck eines Drittanbieters präventiv zu begrenzen.