- 攻撃者がRailwayのビルド基盤のゼロデイ脆弱性を悪用し、顧客のAI APIキーとクラウド認証情報を窃取
- 盗まれたキーにより約74万ドル分のAIサービスが不正利用され、大規模なモデル学習や自動化に使われた可能性
- RailwayはAIを活用した攻撃者と26時間にわたって攻防を繰り広げ、侵入の封じ込めと認証情報のローテーションを完了
米国のクラウドホスティング企業Railwayは、脅威アクターが未知の脆弱性を悪用して侵入し、ユーザーの認証情報を盗み出したうえ、数十万ドル規模のAIサービスの不正利用を行ったと明らかにしました。
同社は攻撃者を締め出してインフラを強化しましたが、その前に、ボット同士による26時間もの壮絶な攻防を経験することになりました。
Railwayへの攻撃
Railwayは基本的にクラウドホスティング企業ですが、主に開発者が基盤インフラの管理にほとんど手間をかけずにアプリケーションを構築、デプロイ、運用できるよう設計されています。
主なサービスには、WebサイトやAPIの実行、データベースのホスティング、PostgreSQLやMySQLのデプロイ、GitHubリポジトリとの連携による新規コードの自動デプロイ、コンテナ、ネットワーク、リソース配分の管理などがあります。
他のクラウドプロバイダーと同様、同社のビルド基盤はマルチテナント方式を採用しています。1台のデバイスで複数のビルドをホストする仕組みで、同じ仮想マシン上でも、理論上は各ビルドが互いに完全に分離されているはずです。
顧客の多くはAIサービスを利用する開発者や企業で、AI用のAPIキーを環境変数としてプラットフォーム上に保存しています。これにより、ホストされたアプリケーションがAIモデルとより簡単に通信できます。
Railwayはインシデントレポートで、身元不明の脅威アクターがビルド基盤のゼロデイ脆弱性を悪用して「ファイルシステムの分離を部分的に突破」し、ホスト仮想マシンに保存されていた一部のファイルを読み取ったと説明しています。これらのファイルには、ビルドサーバーが一部の内部システムへの認証に使う認証情報が含まれていたとみられます。
レポートによると、「この認証情報を入手した攻撃者は、さまざまなシステムで使用を試みたものの、当初は失敗した」といいます。しかし最終的に、この認証情報で社内のタスク管理システム「Temporal」にアクセスできることに気づきました。攻撃者はそこでRailwayの社内コードベースのコピーを発見し、認証メカニズムの設定不備を見つけ出して、一時的なクラウド認証情報を奪取しました。
これらを使って他の内部システムにもアクセスし、暗号化された顧客の環境変数を保存する本番データベースへの接続に必要な認証情報や、その復号方法に関する情報も手に入れました。
AIサービスのAPIキーを標的に
攻撃者は、主にAIサービスを利用する企業のAPIキーに関心を持っていたようです。キーを使って有料のAIサービスにアクセスし、料金は被害者に請求される形になりました。
その額は相当なものでした。コーディングエージェントやAI学習パイプラインの利用で、約74万ドルが請求されたのです。Railwayは、キーを入手した人物がそれらを闇市場で転売し、モデル蒸留の支援に使われた可能性があるとみています。
モデル蒸留とは、より小型のAIモデルに、大型で高性能なモデルの能力や応答を模倣させる学習手法です。通常は元のモデルに大量のクエリを送り、返ってきた結果を小型モデルの学習データとして利用します。証明は不可能ですが、多くのアナリストは、中国のモデルが米国のモデルと渡り合えているのはこの手法によるものだとみています。
Railwayは、今回のインシデントで最大10万の顧客ワークスペースの環境変数が復号された可能性があると見積もっています。ただし、この数字はあくまで上限であり、侵害が確認されたアカウント数ではないと強調しています。
同社によると、攻撃は10月20日のUTC午前7時28分ごろに始まり、約26時間後の10月21日のUTC午前9時24分に終了しました。その間、エンジニアは交代制で対応にあたり、攻撃者が多数の侵入経路を並行して探っている様子を確認しました。Railwayも並行して各経路の防御を固めていきました。レポートでは「事態がエスカレートするにつれ、エージェントの速度を競う戦いとなった。Wizによると、Railwayはabliterated（安全制限を除去した）モデルと、ARTEXに似たハーネスを相手に防御していた」と述べています。
Railwayは、悪用された脆弱性をすでに修正し、影響を受けたインフラを再構築し、侵害された認証情報をローテーションしたとしています。さらにAIプロバイダーと協力して不正請求の返金を進めており、プロバイダーが返金に応じない分の損失は同社が負担すると約束しています。
