Railway、侵入で盗まれたAIキーの不正利用は約74万ドル　返金しない分は自社負担

クラウド基盤のRailwayは11月10日付の10月の侵入の詳しい報告で、攻撃者が顧客の環境変数の一部を復号し、AIの提供元のキーを優先して盗んだと明らかにした。復号された可能性があるのは最大で全体の1.85%、約10万のワークスペースだ。盗まれたキーの不正な利用は約74万ドルに上ると見積もり、Railwayは提供元と返金を進めながら、返金に応じない提供元の分は自社で負担する。

ビルドの隔離の穴から鍵の復号まで

報告によると、攻撃は10月20日（日本時間）に始まった。攻撃者はまず、複数の顧客のビルドが同じ仮想マシンで動く仕組みの未知の穴を突き、ファイルの隔離を一部抜けて、ビルドのサーバーが内部の仕組みに使う認証情報を手に入れた。この認証情報は本来ビルドの成果物を置くためだけの物だったが、ビルドの処理を動かす社内のTemporalが信頼できる相手として受け入れたため、攻撃者はほかのビルドの記録を読めた。読まれたのは353件のビルドの記録で、そこには秘密にしていた変数も含まれていた。

攻撃者はこの経路でRailwayの社内のモノレポの写しも手に入れた。コードを調べて見つけたのは、CI/CDの仕組みのクラウドの環境にあった、誤って設定されたOIDCの結び付けだ。10月21日（日本時間）、攻撃者はここから短い期限のクラウドの認証情報を得て、運用の機械にSSHで入り、暗号化された変数を復号できる長い期限の認証情報を見つけた。データベースへの問い合わせでは、変数の名前を正規表現で絞ってAIの提供元のキーを優先し、変数の多い顧客を狙っていたという。攻撃者はその後に締め出され、Railwayは10月21日の夕方（日本時間）以降、顧客のデータへの接続は無かったとしている。

不正利用は約74万ドル、返金は提供元ごと

復号されたデータには、1852人の利用者の連携のトークン（持ち込みのエージェントのキーとGitHubのOAuthのトークン）も含まれていた。Railwayはそのすべてを無効にして本人に知らせ、盗まれた情報でRailwayのアカウントに入られた形跡は無いとした。キーの漏れが疑われた時点で、どのキーが漏れたか分からないまま、GitHub、GitLab、Anthropic、OpenAI、OpenRouter、SpaceXSI、Google、Stripeに、持っていた全キーのハッシュを渡して無効化を頼んだ。

返金の扱いは提供元ごとに違う。報告によると、AWS BedrockとGoogle Geminiは既存の不正利用の返金の方針で対応を始めた。OpenAIとSpaceXSIは、Railwayと共同の窓口で1件ずつ審査する。Anthropicとは話し合いの途中で、その間の費用はRailwayが持つ。OpenRouterは利用規約どおり返金しないと決めたため、その分はRailwayがすべて負担する。身に覚えの無い請求がある利用者は、Railwayの用意したフォームで届け出るよう求められている。

盗んだキーは転売の経路へ

Railwayは、攻撃の主な狙いがAIの提供元のキーだったと見ている。盗まれたキーは、AIへの接続を中継・転売するサービスを通じて、蒸留（強いモデルの出力で別のモデルを学習させる手法）に使われたと推定する。その後に確認した不正な利用には、コーディングエージェントの呼び出しや、学習データにするためのエージェントの振る舞いの評価が含まれていた。OpenCode、Warp、Fireworks AIなども10月6日〜23日に同じような盗難を公表しており、RailwayはAIのキーを預かる基盤を狙った一連の攻撃の1つと位置づけた。

対策として、ビルドごとに使い捨ての仮想マシンを割り当て、認証情報は決まったイメージを置く権限だけに絞った。CIの仕組みは作り直して重要な操作に2要素の承認を求め、秘密の保管では、暗号化と復号の操作をすべて記録し、復号の鍵に触れるのは秘密の管理のサービスだけにした。新規登録は10月23日（日本時間）から11月2日まで止めた。数字や攻撃の筋道はRailwayの調査によるもので、専門の調査会社の調べは続いている。

編集部の見方

編集部は、この件の要点を、AIのキーが今や現金に近い盗みの的になっている点にあると見る。攻撃者は変数の名前でAIのキーを選んで復号し、Railwayは同じ時期のほかの盗難も一連の攻撃と見ている。Railwayで動くアプリにAIのキーを置いているなら、提供元の利用の明細を10月20日以降で見直し、身に覚えの無い請求はフォームで届けたい。ただし約74万ドルは見積もりで、返金がどこまで進むかは提供元との話し合いしだいだ。キーの利用上限を低く決めておくことが、次の被害を小さくする手になる。