NERDMANVercel-Hack: OAuth-App reißt Kunden mit rein
Ein einziger geknackter OAuth-Zugang reicht — und plötzlich brennt die halbe Lieferkette. Bei Vercel zeigt sich gerade, wie verheerend Shadow AI und ungezähmte Drittanbieter-Integrationen werden.
Was konkret passiert ist
Eine kompromittierte Drittanbieter-OAuth-App wurde zum Türöffner direkt in Vercels Umgebung. Von dort aus zog sich der Schaden bis zu nachgelagerten Kunden durch. Klassischer Lieferketten-GAU — nur diesmal über einen Token, den niemand auf dem Schirm hatte.
Das Problem in Zahlen
- 1 OAuth-App** — reicht als Eintrittstor für die ganze Kette
- Dutzende Tools** — hängen in modernen Stacks per OAuth aneinander
- 0 Sichtbarkeit** — über inoffiziell genutzte KI-Dienste in vielen Firmen
- 100%** — der Berechtigungen bleiben oft nach Mitarbeiter-Abgang aktiv
Pro und Con von OAuth-Sprawl
#### Pro
- Schnelle Integration neuer Tools ohne IT-Ticket
- Mitarbeiter werden produktiver mit KI-Helfern
- Kein Passwort-Chaos mehr
#### Con
- IT weiß nicht, welche Apps Zugriff haben
- Tokens überleben den Mitarbeiter
- Ein Hack bei Anbieter X = Hack bei dir
- Shadow AI saugt Firmendaten in unbekannte Modelle
💡 Was das bedeutet
Wer KI-Tools per OAuth ins Unternehmen lässt, ohne ein Inventar zu führen, baut sich selbst die Hintertür. Der Vercel-Fall ist kein Einzelfall — es ist die Vorschau auf die nächsten zwei Jahre. Jede ChatGPT-Integration, jedes „mit Google anmelden" eines KI-Startups ist ein potenzieller Angriffsvektor.
