Railway détaille l'intrusion d'octobre : des clés d'API d'IA volées et environ 740 000 dollars de consommation frauduleuse

Les clés d’API des fournisseurs d’IA sont devenues une cible à part entière. L’hébergeur d’applications Railway a publié ce mardi 10 novembre son rapport complet sur l’intrusion subie les 20 et 21 octobre. Selon l’entreprise, l’attaquant cherchait avant tout les clés d’IA que ses clients stockent dans leurs variables d’environnement. Les clés volées ont servi à environ 740 000 dollars de consommation non autorisée.

Une chaîne de failles

Le rapport décrit une attaque en plusieurs rebonds. Le 20 octobre, l’attaquant exploite une faille inconnue de l’infrastructure de build de Railway, partagée entre plusieurs clients sur une même machine, pour sortir en partie de l’isolation et lire des fichiers de l’hôte. Il y récupère un identifiant de build, censé servir seulement à pousser des images, mais qu’un système interne de planification de tâches (Temporal) accepte comme client de confiance. Il lit ainsi l’historique de 353 builds, variables comprises, et obtient une copie du dépôt de code interne de Railway.

Ce code lui permet de chercher d’autres entrées. Dans la nuit du 21 octobre, il trouve une configuration OIDC erronée dans la chaîne de déploiement, obtient des identifiants cloud temporaires, puis se connecte à une machine d’orchestration qui conservait une clé capable de déchiffrer des variables de clients. Les journaux de la base de données montrent qu’il filtrait les noms de variables correspondant à des clés de fournisseurs d’IA, en visant les clients qui en stockaient beaucoup. Railway dit l’avoir expulsé de ses systèmes le 21 octobre au matin.

L’ampleur des dégâts

Au plus 1,85 % des espaces de travail, soit environ 100 000, ont pu voir des variables déchiffrées. Railway insiste : c’est une borne haute, car ses journaux identifient des environnements, pas des variables précises. Des jetons liés à des comptes (clés d’agents en BYOK, jetons OAuth GitHub) de 1 852 utilisateurs ont aussi été déchiffrés ; ils ont tous été réinitialisés, sans connexion frauduleuse constatée sur Railway. Pendant l’incident, l’hébergeur a demandé à GitHub, GitLab, Anthropic, OpenAI, OpenRouter, SpaceXSI, Google et Stripe de révoquer les clés potentiellement exposées.

Qui paie la facture d’environ 740 000 dollars ? Cela dépend du fournisseur. AWS Bedrock et Google remboursent au titre de leur politique antifraude, OpenAI et SpaceXSI examinent les demandes au cas par cas. Railway prend en charge les coûts liés à Anthropic, le temps d’un accord, et à OpenRouter, qui applique sa politique de non-remboursement.

Ce que Railway avance sans le prouver

Railway estime que les clés étaient destinées à des services de relais qui revendent l’accès aux modèles, notamment pour de la distillation, c’est-à-dire entraîner un modèle à partir des réponses d’un autre. L’usage frauduleux observé va d’agents de code à des chaînes d’entraînement. Le rapport affirme aussi que l’attaquant s’appuyait sur des modèles dont les garde-fous avaient été retirés. Railway parle enfin d’une série d’attaques contre les plateformes qui stockent des clés d’IA, citant des vols similaires chez OpenCode, Warp et Fireworks AI entre le 6 et le 23 octobre, sans établir qu’il s’agit du même auteur.