Molnplattformen Railway publicerade den 10 november en incidentrapport om ett dataintrång den 20–21 oktober. Enligt rapporten dekrypterade angriparen en del av kundernas miljövariabler. I dem lagrar utvecklare API-nycklar och andra hemligheter för sina appar.

Railway uppger att variablerna kan ha dekrypterats i högst 1,85 procent av arbetsytorna, alltså cirka 100 000 arbetsytor. Siffran är en övre gräns eftersom loggarna bara visar vilka miljöer som angreps, inte enskilda variabler. Angriparen kom dessutom åt token för länkade konton hos 1 852 användare, till exempel OAuth-token för GitHub och användarnas egna nycklar till AI-agenter. Railway återställde dem.

Från byggserver till krypteringsnycklar

Enligt Railways beskrivning tog sig angriparen den 20 oktober delvis ut ur isoleringen på en server där kundernas kod byggs till körbara appar. På servern hittade angriparen en intern behörighetsuppgift som jobbsystemet godtog som betrodd. Med den läste angriparen uppgifterna om 353 andra byggen, inklusive variabler, och kopierade Railways interna kodförråd.

I koden hittade angriparen ett felkonfigurerat förtroendeförhållande mellan Railways driftsättningspipeline och molnmiljön. Den vägen tog sig angriparen den 21 oktober till en server med en långlivad behörighetsuppgift för att dekryptera variablerna. Railway krypterar variablerna med nycklar per miljö. De nycklarna är i sin tur krypterade med en huvudnyckel som förvaras i molntjänstens nyckelhantering.

Enligt databasloggarna sökte angriparen i första hand efter variabler vars namn tydde på en nyckel till en AI-tjänst. Som mål valde angriparen kunder med många variabler. En del av de hämtade variablerna dekrypterade angriparen med den behörighetsuppgift som hade hittats. Från det första intrånget till att angriparen kastades ut gick det cirka 26 timmar. Angriparen använde modeller vars säkerhetsspärrar hade tagits bort, uppger Railway. Dessutom använde angriparen enligt en bedömning från säkerhetsföretaget Wiz en harness liknande ARTEX, alltså ett program som styr en agent, ger modellen verktyg och kör dess arbetssteg.

Enligt Railway finns inga tecken på att angriparen har laddat ner kundernas kodförråd, och utredningen tyder inte heller på att angriparen kom åt kundernas databaser. Ett externt forensikföretags utredning pågår fortfarande. De svagheter som angriparen utnyttjade har åtgärdats, uppger bolaget.

Kostnader och ersättningar

Railway uppskattar att de stulna nycklarna har gett obehöriga kostnader på cirka 740 000 dollar. Bolaget tror att nycklarna förmedlades till tjänster som säljer vidare AI-åtkomst för destillation, alltså träning av en egen modell på svaren från en annan modell. Railway har inte utrett om angriparen själv drev tjänsterna eller lämnade nycklarna vidare till andra. Wiz rapport ”Black October” beskriver enligt Railway ett liknande tillvägagångssätt men gör ingen oberoende koppling mellan intrånget hos Railway och en viss aktör. Även OpenCode, Warp och Fireworks AI rapporterade liknande stölder den 6–23 oktober, säger Railway.

Railway ber kunderna anmäla obehöriga debiteringar via bolagets formulär. AWS och Google ersätter kostnader som beror på bedrägeri enligt sina egna regler. OpenAI och SpaceXSI bedömer fallen från fall till fall. En kund som har drabbats via OpenAI-nycklar öppnar ett supportärende hos OpenAI och skickar ärendenumret till Railways support. För kostnader som har uppstått med SpaceXSI-nycklar kontaktar kunden Railways support. Förhandlingarna med Anthropic pågår, och under tiden betalar Railway själv de obehöriga kostnader som har uppstått med Anthropic-nycklar. Railway betalar också de obehöriga kostnader som har uppstått via OpenRouter, eftersom OpenRouter inte ersätter dem.