Railwayが10月の不正アクセス詳細を公表：AI用APIキー流出で約74万ドルの不正利用

AIプロバイダーのAPIキーが、いまや格好の標的となっている。アプリケーションホスティング大手のRailwayは11月10日火曜日、10月20日から21日にかけて受けた不正アクセスに関する詳細レポートを公開した。同社によると、攻撃者の主な狙いは顧客が環境変数に保存していたAI用キーであり、盗まれたキーは約74万ドル分の不正利用に使われたという。

連鎖した脆弱性

報告書は、複数段階に及んだ攻撃の全容を記している。10月20日、攻撃者は同一マシン上で複数顧客が共有するRailwayのビルド基盤にあった未知の脆弱性を突き、隔離環境から部分的に脱出してホスト上のファイルを読み出した。そこで、本来はコンテナイメージのプッシュにしか使われないはずのビルド用認証情報を入手したが、これが内部タスクスケジューラー（Temporal）に信頼されたクライアントとして誤認されていた。その結果、変数情報を含む353件のビルド履歴が閲覧され、Railway社内のコードリポジトリの複製が奪われた。

攻撃者はこのソースコードをもとに、さらなる侵入口を探索した。10月21日未明、デプロイパイプライン内のOIDC設定不備を発見して一時的なクラウド認証情報を取得し、顧客の環境変数を復号できるキーを保持していたオーケストレーションマシンへと到達した。データベースのログには、大量の変数を保持する顧客を狙い、AIプロバイダーのキーに合致する変数名を絞り込んでいた形跡が残されていた。Railwayは21日午前に攻撃者をシステムから排除したとしている。

被害の規模

変数が復号された可能性があるのは、全ワークスペースの最大1.85%、約10万件にのぼる。ただし、ログで特定できたのは環境単位であり個別の変数までは絞り込めないため、Railwayはこの数字を上限値であると強調している。また、1,852人分のアカウント関連トークン（BYOK形式のエージェントキー、GitHub OAuthトークン）も復号されたが、これらはすべてリセットされ、Railway上での不正ログインは確認されていない。インシデント発生中、Railwayは影響を受けた可能性のあるキーを失効させるよう、GitHub、GitLab、Anthropic、OpenAI、OpenRouter、SpaceXSI、Google、Stripeに要請した。

約74万ドルにのぼる不正利用の請求を誰が負担するのかは、プロバイダーによって対応が分かれている。AWS BedrockとGoogleは不正利用対策ポリシーに基づき返金に応じ、OpenAIとSpaceXSIは個別審査を行っている。一方、合意形成の途上にあるAnthropicと、返金不可の規約を適用するOpenRouterの発生費用については、Railway側が肩代わりしている。

確証のないRailway側の推測

Railwayは、奪われたキーがモデルへのアクセスを転売する中継サービスへ流出していたと推測している。とりわけ、あるモデルの出力を用いて別のモデルを学習させる蒸留（ディスティレーション）用途に充てられたと見ている。確認された不正利用の形態は、コーディングエージェントからトレーニング用パイプラインまで多岐にわたる。さらにレポートでは、攻撃者がガードレールが解除されたモデルを利用していたとも主張している。加えてRailwayは、10月6日から23日にかけてOpenCode、Warp、Fireworks AIで報告された類似のキー流出事件に触れ、同一犯である証拠はないものの、AIキーを保管するプラットフォームを標的とした一連の攻撃の一部であると述べている。