Pilvialusta Railway julkaisi 10. marraskuuta poikkeamaraportin tietomurrosta, joka tapahtui 20.–21. lokakuuta. Raportin mukaan hyökkääjä purki salauksen osasta asiakkaiden ympäristömuuttujia. Niihin kehittäjät tallentavat sovellustensa API-avaimia ja muita salaisuuksia.

Railwayn mukaan muuttujien salaus on voitu purkaa enintään 1,85 prosentissa työtiloista eli noin 100 000 työtilassa. Luku on yläraja, koska lokeista näkyvät vain hyökkäyksen kohteena olleet ympäristöt, eivät yksittäiset muuttujat. Lisäksi hyökkääjä sai 1 852 käyttäjän linkitettyjen tilien tunnisteet, kuten GitHubin OAuth-tunnisteita ja käyttäjien omia tekoälyagenttien avaimia. Railway nollasi ne.

Koontipalvelimelta salausavaimiin

Railwayn kuvauksen mukaan hyökkääjä pääsi 20.10. osittain ulos eristyksestä palvelimella, jolla asiakkaiden koodista rakennetaan ajettavia sovelluksia. Palvelimelta hyökkääjä löysi sisäisen tunnuksen, jonka tehtävienajojärjestelmä hyväksyi luotetuksi. Sillä hyökkääjä luki 353 muun koonnin tiedot muuttujineen ja kopioi Railwayn sisäisen koodirepositorion.

Koodista hyökkääjä löysi virheellisesti määritetyn luottamussuhteen Railwayn julkaisuputken ja pilviympäristön välillä. Sen kautta hyökkääjä pääsi 21.10. palvelimelle, jolla oli pitkäikäinen tunnus muuttujien salauksen purkuun. Railway salaa muuttujat ympäristökohtaisilla avaimilla, jotka on puolestaan salattu pilvipalvelun avainhallinnassa säilytettävällä pääavaimella.

Tietokannan lokien mukaan hyökkääjä haki ensisijaisesti muuttujia, joiden nimi viittasi tekoälypalvelun avaimeen. Kohteiksi se valitsi asiakkaita, joilla muuttujia oli paljon. Osan hakemiensa muuttujien salauksen hyökkääjä purki löytämällään tunnuksella. Ensimmäisestä murtautumisesta hyökkääjän häätöön kului noin 26 tuntia. Railwayn mukaan hyökkääjä käytti malleja, joista turvarajoitukset oli riisuttu. Lisäksi se käytti tietoturvayhtiö Wizin arvion mukaan ARTEXin kaltaista harnessia eli agenttia ohjaavaa ohjelmaa, joka antaa mallille työkalut ja ajaa sen työvaiheet.

Railwayn mukaan ei ole merkkejä siitä, että hyökkääjä olisi ladannut asiakkaiden repositorioita, eikä tutkinta viittaa siihen, että se olisi päässyt asiakkaiden tietokantoihin. Ulkopuolisen forensiikkayhtiön tutkinta on yhä kesken. Yhtiön mukaan hyökkääjän hyödyntämät heikkoudet on korjattu.

Kulut ja korvaukset

Railway arvioi, että varastetuilla avaimilla on tehty luvattomia kuluja noin 740 000 dollarin edestä. Yhtiö uskoo, että avaimet välitettiin tekoälypääsyä jälleenmyyville palveluille tislauskäyttöön eli oman mallin kouluttamiseen toisen mallin vastauksilla. Railway ei ole selvittänyt, pyörittikö hyökkääjä itse näitä palveluja vai toimittiko se avaimet muille. Railwayn mukaan Wizin ”Black October” -selvitys kuvaa samanlaista toimintatapaa, mutta ei riippumattomasti yhdistä Railwayn murtoa tiettyyn tekijään. Railwayn mukaan myös OpenCode, Warp ja Fireworks AI kertoivat 6.–23.10. vastaavista varkauksista.

Railway pyytää asiakkaita ilmoittamaan luvattomat veloitukset sen lomakkeella. AWS ja Google hyvittävät petoksista johtuvat kulut omien käytäntöjensä mukaan. OpenAI ja SpaceXSI arvioivat tapaukset yksitellen. OpenAI:n avaimista kärsinyt asiakas avaa OpenAI:lle tukipyynnön ja välittää tapausnumeron Railwayn tuelle. SpaceXSI:n avaimilla syntyneistä kuluista asiakas ottaa yhteyttä Railwayn tukeen. Neuvottelut Anthropicin kanssa ovat kesken, ja sillä välin Railway maksaa itse Anthropicin avaimilla syntyneet luvattomat kulut. Railway maksaa myös OpenRouterin kautta syntyneet luvattomat kulut, koska OpenRouter ei hyvitä niitä.