11月11日、Guru Baranが「Railway Reveals How Hackers Used AI Agents to Steal API Keys and Rack Up $740,000 in Charges」と題した記事を公開した。クラウドデプロイプラットフォームのRailwayがAIエージェントを悪用した攻撃者にAPIキーを窃取され、約74万ドルの課金被害が発生したインシデントの詳細が記録されている。
AIエージェントがコードベースを読み、次の侵入口を自律探索
今回の攻撃で最も注目すべき点は、攻撃者がAIエージェントを使ってRailwayの内部コードベースを解析し、ブロックされた侵入口の代替ルートを自律的に探索したことだ。
2024年10月20日 07:28 UTC、攻撃者はビルドシステムのファイル分離機構を部分的に突破する未知の脆弱性を悪用。ホストマシン上のファイルを読み取り、ビルドサーバーが内部サービスへのアクセスやイメージのプッシュに使用していた認証情報を入手した。
この認証情報が必要以上の権限を持っていたことが被害を拡大させた。RailwayのタスクキューシステムであるTemporalがこの認証情報を受け入れ、353件のビルド履歴（シークレット含む）の読み取りが可能になった。さらにキャッシュされたリポジトリのスナップショットへのアクセスにより、Railwayの内部コードベースそのものが攻撃者の手に渡った。
攻撃者はARTEXに類似したエージェントフレームワークを使い、安全制限を外したモデルを動作させていたとRailwayは述べている。ARTEXはタスクの計画・実行・フィードバックループを自律的に回すことができるAIエージェント基盤で、コードベース解析や環境探索といった反復的な作業を人手なしに継続できる点が今回の攻撃で悪用された。13:58 UTCにエンジニアが異常なレジストリAPIコールを検知して最初の侵入口をブロックしたものの、入手済みのコードベースをもとにAIエージェントが別のルートを探し当て、攻撃は翌日も継続した。
OIDC設定ミスが暗号化シークレットを露出
10月21日 03:26 UTC、今度はOpenID Connect（OIDC）のトラスト設定の誤りが原因で、短命なクラウド認証情報が漏洩した。OIDCはクラウドサービス間の認証委譲に広く使われる仕組みで、設定ミスがあると意図しない主体に一時的な認証情報を発行してしまう。
攻撃者はこの認証情報を使って内部クレデンシャルとSSH秘密鍵を入手し、顧客ワークロードを管理するマシンに侵入。そのマシンは本番データベースへのネットワークアクセスと、シークレット復号を承認できる別の認証情報を保持していた。
攻撃者はデータベースから暗号化された環境変数を取得し、RailwayのKMS（鍵管理サービス）を使って一部を復号した。これは暗号アルゴリズム自体の破綻ではなく、正規の復号権限を持つ認証情報を悪用したものだ。データベースへのクエリはAIプロバイダーのキー名を狙い撃ちにして実行されていた。
被害規模と「LLMjacking」の手口
窃取されたAPIキーは、AI APIのリレーサービスや転売サービスに流れた可能性が高いとRailwayは見ている。これはLLMjackingと呼ばれる攻撃手法で、盗んだ認証情報を使って有料AIサービスを被害者のアカウントで大量消費する。モデルの応答を使ったモデル蒸留（他社モデルの挙動を模倣したモデルを訓練する行為）への悪用も疑われている。
被害の範囲は以下の通りだ：
- 最大1.85%のワークスペースの環境変数が復号された可能性（Railwayが公表した割合であり、総ワークスペース数の具体的な内訳は元記事には記載されていない）
- 1,852ユーザーの連携アカウントトークンが漏洩（Railwayが全件リセット済み）
- 攻撃者が発生させた課金の推定額：約74万ドル
- Railwayアカウントへの不正ログインや顧客データベースへのアクセスは確認されていない
なお、Wiz社の"Black October"調査は同種のクレデンシャル窃取パターンを広く記録しているが、今回のRailway侵害を独立して帰属認定しているわけではない。
Railwayの対応と今後
Railwayは10月22日までに認証情報の全失効、内部システムの再構築、全プランのビルド復旧を完了した。プロバイダーへの返金交渉も進めており、プロバイダーが返金を拒否した場合はRailwayが被害顧客に代わって課金を負担するとしている。
ユーザーへの推奨アクション：
- 環境変数に登録しているAPIキーの即時ローテーション
- AIプロバイダーの利用履歴・課金ログの確認
- 不審な課金が発生している場合はプロバイダーへの申告
今回の侵害は、ビルドシステムのファイル分離不備、過剰な権限を持つ認証情報、OIDCの設定ミスという複数の問題が連鎖した結果だ。AIエージェントが侵入後の横断移動を加速させた点は、今後のインフラ設計における新たなリスク要因として認識しておく必要がある。
詳細はRailway Reveals How Hackers Used AI Agents to Steal API Keys and Rack Up $740,000 in Chargesを参照していただきたい。
