Vercel révèle un incident de sécurité lié à un compromis OAuth chez Context.ai

Vercel a révélé un incident de sécurité après que des attaquants ont exploité un compromis chez Context.ai, un outil d’IA tiers, pour accéder au compte Google Workspace d’un employé puis se déplacer dans certaines parties de l’environnement interne de Vercel.

Selon le bulletin de sécurité publié par l’entreprise, l’attaquant a atteint certains environnements et variables d’environnement qui n’étaient pas marqués comme sensibles. Vercel affirme ne disposer d’aucun élément montrant que des valeurs protégées par son système de variables sensibles ont été lues.

Ce qui s’est passé

Vercel explique que l’intrusion a commencé par une application OAuth compromise liée à Context.ai. L’attaquant a ensuite pris le contrôle du compte d’un employé de Vercel, ouvrant un chemin vers des systèmes internes. L’entreprise décrit l’attaquant comme très sophistiqué et indique collaborer avec Mandiant, d’autres sociétés de cybersécurité et les forces de l’ordre.

Pourquoi c’est important

Cette affaire compte dans le domaine de la sécurité cloud, car elle montre comment un petit outil d’IA tiers peut devenir le maillon faible d’une plateforme bien plus grande. Pour les équipes qui s’appuient sur des intégrations SaaS, la leçon ne concerne pas seulement l’hygiène des mots de passe, mais aussi la portée des autorisations OAuth, l’évaluation des fournisseurs et la manière de stocker les secrets afin de réduire l’ampleur d’un incident.

Vercel indique qu’un nombre limité de clients a vu ses identifiants exposés et que ces utilisateurs ont été contactés directement avec une recommandation de rotation immédiate. L’entreprise a également publié un indicateur de compromission pour l’application OAuth concernée et demandé à ses clients de vérifier leurs journaux d’activité, de faire tourner les variables d’environnement non protégées et d’auditer les déploiements récents.

Pour les développeurs et les équipes sécurité, le message plus large est clair: les outils de productivité IA tiers font désormais partie de véritables chaînes de production, et leurs frontières de confiance doivent être traitées avec le même sérieux que celles de tout autre fournisseur technique.