要点
- 開発者向けのクラウド Railway が侵入され、顧客が預けた秘密の鍵（API キーなど）が盗まれた。
- 盗まれた AI の鍵で不正に使われた金額は、Railway の推計で約74万ドルに達する。
- Railway を使っているなら、AI・クラウド・データベースなどの鍵を入れ替え、AI 側の利用上限を決めておく必要がある。
何が起きたか
Railway は、アプリを手軽に公開できる開発者向けのクラウドサービスだ。同社が11月10日に公開した事故報告によると、攻撃は10月20日に始まった。
攻撃者はまず、アプリを組み立てる「ビルド」の基盤にある未知の欠陥を突いた。隔離の仕組みを部分的に破り、そこから足がかりを広げた。翌21日には、設定の誤った信頼関係を通じて短時間だけ使えるクラウドの権限を得た。これで、顧客の「環境変数」（鍵やパスワードを入れておく設定欄）を解読できた。
Railway によると、攻撃者は21日の午前9時24分（UTC。日本時間では同日18時24分）までに完全に締め出された。
盗まれたとされる情報は次のとおりだ。
- 環境変数を解読された可能性があるのは、全ワークスペースの最大1.85%（約10万）。これは上限の見積もりで、実際に盗まれた数ではない。
- 353件のビルド履歴が読まれた。
- 1,852人分の連携トークン（GitHub の認証や AI エージェントの鍵）が流出した。Railway はこれを再設定した。
- Railway 自身のソースコードも取られた。
攻撃者は特に AI プロバイダーの鍵を優先して探していた。クラウド、データベース、決済サービスの鍵に当たる検索もあった。Railway は、顧客のデータベースに触れた形跡はないとしている。
被害額について Railway は「盗まれた鍵での不正利用は約74万ドルに達すると推計される」と述べている。算出方法は示されていない。Railway は、鍵を転売するか、AI の蒸留（他社モデルの出力で自前のモデルを学習させる行為）に使う目的だったと見ている。ただし、誰が実行したかは確定していない。
日本の利用者への影響
Railway は世界中で使われており、日本の開発者や企業が使っている可能性はある。ただ、日本の利用者への影響や利用者数は、今回確かめた資料からは分からない。
今すぐやること
- Railway にアプリを置いている人は、環境変数に入れた鍵をすべて洗い出す。
- AI（OpenAI・Anthropic・Gemini・AWS Bedrock など）、クラウド、データベース、決済の鍵は、新しく作り直して古いものを無効にする。Railway は、これらの入れ替えを勧めている。
- AI 各社の管理画面で、請求額の上限や通知を設定する。使用量が急に増えたときに気づける。あわせて、見覚えのない利用がないか履歴を見る。
- GitHub の連携をつなぎ直し、CLI（コマンド操作）や CI（自動ビルド）用の鍵も作り直す。Railway は全セッションを無効にしている。
- 身に覚えのない請求は Railway のフォームで報告する。Railway は、AI 各社と返金を調整し、断られた分は自社で負担すると説明している。
背景
Wiz の調査によると、同じ時期に AI 開発者向けのサービスが相次いで狙われている。Wiz はこれを「Black October」と呼ぶ。名前が挙がったのは Lightning AI、OpenCode、Warp、Northflank などだ。Wiz は、各報告が保存された環境変数を狙った攻撃を示しており、特に AI を使うための鍵を探していたと述べている。盗んだ AI の鍵を使って他人の費用で AI を動かす手口は、「LLMjacking」と呼ばれる。
Wiz は Railway の事故を Black October の事案一覧に入れ、専用の注意喚起も出している。ただし、同一犯の仕業とは言っておらず、事案どうしに共通の脆弱性は無いとしている。
技術者向けの詳細
- 時系列（UTC）: 10/20 06:50 ビルド基盤への探りが始まる。07:28 隔離を部分的に突破。10/21 03:26 誤設定の OIDC バインディング経由で短命のクラウド認証情報を取得。07:14 Railway が全クラウド認証情報を無効化。09:24 排除完了。20:19 全ユーザーのセッションとトークンを無効化。
- 影響の上限: 環境変数の復号は最大約10万ワークスペース。ログは変数単位でなく環境単位のため、上限値になる。
- 対策（Railway）: ビルドごとに専用の使い捨て VM、CI の作り直し、暗号化・復号の全記録、データ暗号鍵は秘密情報サービスのみ参照、PKI とルート CA の再構築。
- 返金（Railway の説明）: AWS Bedrock と Google Gemini は既存の不正利用の返金方針が適用。OpenAI は個別審査。Anthropic は交渉中のあいだ Railway が負担。OpenRouter は返金不可のため Railway が負担。
- 侵害の痕跡（IOC）は、当局の承認後に公開される予定。FBI の IC3 に届け出済み。
- Wiz が報告した AWS Bedrock の鍵の悪用例では、鍵の方針が Bedrock を us.* のクロスリージョン推論プロファイル経由に限っていた。攻撃側の鍵のプールは global.* を要求したため、多くの呼び出しが失敗した。ただし、この制限付きの鍵でも約170万回の呼び出しがあり、100万回超が成功した。方針による制限は万能ではない。IAM の許可範囲と利用枠は、最小限にしておくとよい。
- 詳細は下記の Railway の事故報告と Wiz の調査を参照。
