事件经过
CreditNirvana Agentic AI呼叫中心客户端JavaScript捆绑包中嵌入的硬编码静态API密钥可被未认证攻击者提取，从而访问受保护的后端功能。CERT-IN公告CIVN-2026-0523；CVSS 8.7，发布于2026年10月26日。
影响分析
该应用程序是一个代理式AI呼叫中心产品，暴露的密钥很可能用于保护LLM/代理后端或电话API；客户端密钥为未认证用户提供了进入受保护AI服务层的途径。
攻击途径
未认证攻击者下载客户端JavaScript捆绑包，提取静态API密钥，并使用该密钥调用依赖此密钥进行认证的后端API或服务。
受影响系统
CreditNirvana Agentic AI呼叫中心应用程序（客户端JavaScript捆绑包）。
缓解措施
轮换暴露的API密钥，并将密钥从客户端捆绑包移至服务器端代理/短期令牌；在后端实施授权，而不是依赖客户端嵌入的密钥。