Railway és Fireworks: az AI API-kulcs lett a célpont

Mi történt a Railwaynél?

A Railway november 10-én tette közzé az október 20–21-i támadás teljes jelentését (Railway). A támadó a build infrastruktúra egy addig ismeretlen sérülékenységével részben kitört a fájlrendszer izolációból. Így megszerzett egy build credentialt. Ezzel a belső Temporal klaszterből más buildek előzményeit, köztük változókat olvasott ki, végül a belső monorepo másolatához is hozzájutott.

A kódból talált egy hibásan beállított OIDC kötést a felhőkörnyezetben. Ezen át rövid életű felhős hozzáférést szerzett, onnan pedig egy orkesztrációs gépre jutott, ahol egy hosszabb életű, titkosított változók visszafejtésére alkalmas credential volt. Az adatbázis-naplók szerint reguláris kifejezésekkel kifejezetten AI-szolgáltatói kulcsokra szűrt a változónevek között.

• Legfeljebb a workspace-ek 1,85%-a, kb. 100 000 lehetett érintett (felső becslés).
• 1852 felhasználó összekapcsolt tokenjei (BYOK agent kulcsok, GitHub OAuth) visszafejthetők voltak, ezeket mind resetelték.
• A lopott kulcsokkal becsült jogosulatlan költés kb. 740 000 dollár.
• A Railway szerint a támadó abliterált (biztonsági korlátok nélküli) modelleket és az ARTEX-hez hasonló agent harnesst használt, a Wiz elemzése alapján.

A Railway úgy látja, a kulcsokat úgynevezett transfer station szolgáltatásokon keresztül adták tovább, desztillációhoz. A lopott kulcsokkal coding agent kéréseket, agent viselkedés értékelését és tanítási feladatok ellenőrzését futtatták. A jelentés szerint az OpenCode, a Warp és a Fireworks is hasonló lopásról számolt be október 6. és 23. között.

És a Fireworksnél?

A Fireworks november 9-én frissítette az októberi incidensről szóló közleményét (Fireworks AI). Az első bejelentéskor még csak tárolt secretek kiszivárgásáról tudtak. Azóta kiderült, hogy egy harmadik fél felhőszolgáltató, amely a cég R&D gépeit hosztolta, október 23-án maga is incidenst szenvedett. Másnap a támadó ezen keresztül jutott a Fireworks fejlesztői gépeire.

• Erőforrás-metaadatok: azonosítók, nevek, leírások.
• Számlázási adatok: cím, számlatörténet, egyenleg, kreditfelhasználás. Bankkártyaszámot a cég nem tárol.
• Egyes ügyfeleknél befejezetlen modellsúlyok és datasetek egy része.

A cég szerint a támadók egy LLMjackinggel foglalkozó, pénzügyileg motivált csoporthoz köthetők, akik jogosulatlan LLM-hozzáférést árulnak illegális routing gatewayeken. A Fireworks felfüggesztette a Batch Inference és a dataset alapú tanítás self-serve dataset fel- és letöltését. Az Inference, a Training SDK és a Nexus alapból zero data retentionnel fut, ezeknél nem találtak érintettséget. A The Register szerint Lin Qiao vezérigazgató azt mondta, a támadók nem a súlyokra mentek, a letöltések többsége részleges volt és megszakadt (The Register).

Mit érdemes most megnézni?

Mindkét eset ugyanoda mutat: a platformokon tárolt AI API-kulcs ma önálló, jól pénzzé tehető célpont. Néhány gyakorlati lépés, ami a jelentésekből következik:

• Ha Railwayt vagy Fireworksöt használsz, rotáld az ott tárolt AI-kulcsokat, utána nézd át a szolgáltatói számlát szokatlan használatra.
• Állíts be költéskorlátot és riasztást minden AI-szolgáltatói kulcsra.
• Környezetenként külön, szűk jogosultságú kulcsot használj, ne egy közös "mindenható" kulcsot.
• Ahol lehet, rövid életű, just-in-time credentialt használj statikus kulcs helyett.

Az ARTEX-ről szóló korábbi cikkünk pont azt mutatta be, hogyan jut el egy AI agent a kiszivárgott titkoktól a felhős kulcstárig (ARTEX: AI-agent jut el a GitHub-titoktól a Key Vaultig). A Railway jelentése szerint a valóságban is ilyen tempóval mozgott a támadó.