Vercel पर बड़ा साइबर हमला! AI टूल से क्रिप्टो सप्लाई चेन में सेंध, डेवलपर्स अलर्ट

Vercel का AI टूल ब्रीच: सप्लाई चेन के लिए नया खतरा

वेब डेवलपमेंट और खास तौर पर क्रिप्टो एप्लीकेशंस के लिए एक अहम प्लेटफॉर्म Vercel ने 19 अप्रैल 2026 को एक बड़े सिक्योरिटी ब्रीच की पुष्टि की है। यह हमला सीधा Vercel के कोड पर नहीं हुआ, बल्कि एक थर्ड-पार्टी AI टूल, Context.ai, से शुरू हुआ जिसका इस्तेमाल Vercel के एक कर्मचारी कर रहे थे। हैकर्स ने Google Workspace OAuth एप्लीकेशन में मौजूद एक खामी का फायदा उठाकर Vercel के इंटरनल सिस्टम्स में अनधिकृत एक्सेस हासिल कर लिया। यह घटना AI टूल्स के साथ डेवलपमेंट में बढ़ते सप्लाई चेन रिस्क और थर्ड-पार्टी सर्विसेज पर निर्भरता को दर्शाती है।

कैसे हुई एन्वायरनमेंट वेरिएबल्स की चोरी?

Vercel, जिसकी वैल्यू सितंबर 2025 में $300 मिलियन की सीरीज F फंडिंग के बाद $9.3 बिलियन आंकी गई थी, डेवलपर कम्युनिटी में काफी लोकप्रिय है। कंपनी अक्सर एंटरप्राइज सिक्योरिटी फीचर्स और रेगुलर सिक्योरिटी टेस्टिंग पर ज़ोर देती है। लेकिन, इस इंसिडेंट में यह बात सामने आई कि हमलावरों ने उन एन्वायरनमेंट वेरिएबल्स को एक्सेस कर लिया, जिन्हें यूज़र्स ने "सेंसिटिव" मार्क नहीं किया था। Vercel के सिस्टम में "सेंसिटिव" के तौर पर मार्क किए गए डेटा को एन्क्रिप्ट किया जाता है, मगर जिन वेरिएबल्स को ऐसी कैटेगरी में नहीं रखा गया था, वे इंटरनल Vercel सिस्टम्स से आसानी से एक्सेस किए जा सकते थे। इनमें API कीज़, डेटाबेस क्रेडेंशियल और दूसरे सीक्रेट्स शामिल हो सकते थे, जो Web3 एप्लीकेशंस के फ्रंटएंड-टू-बैकएंड कनेक्शन को पावर देते हैं। इसी वजह से, Chainlink जैसे कई कस्टमर्स को तुरंत अपनी API कीज़ रोटेट करने जैसे ज़रूरी कदम उठाने पड़े।

AI का बढ़ता इस्तेमाल और नए खतरे

Vercel का यह इंसिडेंट ऐसे समय में आया है जब AI-ड्रिवन साइबर अटैक तेज़ी से बढ़ रहे हैं। Vercel के सीईओ Guillermo Rauch ने खुद कहा कि हमलावरों की गति और समझ AI के इस्तेमाल से काफी तेज़ थी। साइबरक्राइम फोरम्स पर Vercel के डेटा को $2 मिलियन में बेचने के अनकंफर्म्ड दावे भी सामने आए हैं, जो साफ तौर पर हैकर्स के लिए इन कॉम्प्रोमाइज्ड क्रेडेंशियल्स की वैल्यू को दिखाते हैं।

थर्ड-पार्टी AI रिस्क का बढ़ता दायरा

Vercel के इस मामले से क्लाउड इंफ्रास्ट्रक्चर और थर्ड-पार्टी AI सर्विसेज के बीच बढ़ते जटिल कनेक्शन का पता चलता है, जिससे सप्लाई चेन अटैक के नए रास्ते खुल गए हैं। यह घटना इस बात पर ज़ोर देती है कि अब सिर्फ कोड की खामियों की जांच करना काफी नहीं है, बल्कि इंटीग्रेटेड हर टूल, खासकर AI का इस्तेमाल करने वाले टूल्स की सिक्योरिटी प्रैक्टिस को भी गहराई से परखना ज़रूरी है। Vercel के सुरक्षा सिस्टम का "सेंसिटिव" डेटा के लिए एक ऑप्शनल फ्लैग पर निर्भर करना, डिफ़ॉल्ट सिक्योरिटी सेटिंग्स के बजाय, एक संभावित डिज़ाइन फ्लो को उजागर करता है। अगर संवेदनशील टोकन एक्सेस हुए हैं, तो इसका असर सिर्फ कस्टमर अकाउंट्स तक ही सीमित नहीं रहेगा, बल्कि Next.js इकोसिस्टम में भरोसे पर भी बड़ी चोट पहुंचेगी।