Railway: 26 horas de carrera entre agentes por las claves de IA

A por las claves de IA

Railway es una plataforma en la nube para desplegar aplicaciones y bases de datos; sus clientes guardan allí las variables de entorno de sus servicios, claves de API incluidas. Según su informe del 10 de noviembre, un atacante encadenó varias vulnerabilidades y descifró parte de esas variables en, como mucho, el 1,85 % de los espacios de trabajo. Es una cota superior: los registros identifican entornos, no variables concretas.

Según su análisis forense, el atacante iba a por credenciales de proveedores de IA para venderlas a redes de reventa que las usarían en destilación. Filtraba variables por el nombre y buscaba clientes con muchas. Railway no ha establecido si operaba esas redes o solo las surtía.

Una carrera de velocidad entre agentes

Railway lo describe así: «No fue una única intrusión seguida de un único arreglo». El atacante tanteaba muchas rutas en paralelo y el equipo las reforzaba al mismo ritmo, en «una competición de velocidad entre agentes» contra modelos sin frenos (abliterated) y un entorno de agentes similar a ARTEX, según Wiz, la empresa de seguridad en la nube que Google compró en marzo y que conserva su marca.

ARTEX es una plataforma de código abierto para hacer pruebas de penetración con varios agentes; según Google, su autor la retiró de GitHub en octubre por el abuso de los atacantes. Railway añade que el intruso usaba «modelos abliterated sin salvaguardas».

Dos puertas y un mapa

Según Railway, la infraestructura de compilación era entonces multiinquilino: varias compilaciones aisladas en la misma máquina virtual. El atacante explotó una vulnerabilidad desconocida para escapar en parte de ese aislamiento y robó una credencial de los servidores de compilación.

Con ella leyó en Temporal, el sistema interno que orquesta tareas, los historiales de 353 compilaciones con sus variables, y descargó el monorrepositorio de Railway, un mapa de cómo funciona la plataforma.

En ese código encontró la segunda puerta: una configuración OIDC (OpenID Connect) mal definida que le dio una credencial de nube. Con ella llegó a una máquina con una credencial capaz de descifrar variables.

El informe corrige al preliminar en dos puntos: las primeras cuentas ficticias del atacante son del 18 de octubre y el descifrado empezó a las 04:42 UTC del 21, no después de las 05:27.

740.000 dólares y quién los paga

Entre lo descifrado había tokens de cuentas vinculadas de 1.852 usuarios, que Railway reinició. La empresa estima en unos 740.000 dólares el gasto no autorizado con las claves robadas.

Pidió a GitHub, GitLab, Anthropic, OpenAI, OpenRouter, SpaceXSI, Google y Stripe que revocaran las claves expuestas. OpenRouter es un intermediario que da acceso a más de 600 modelos con una sola API. En la tabla figura también AWS Bedrock, el servicio de modelos de IA de Amazon Web Services. Railway pagará todas las pérdidas de tokens que no cubran los proveedores.

Las aplicaciones en marcha no se cayeron durante las paradas de compilación, pero Railway reconoce caídas en algunos clientes que revocaron credenciales y no pudieron volver a desplegar.

Glasswing y lo que queda pendiente

Según Railway, ahora cada compilación tiene su propia máquina virtual efímera, un cambio que ya preparaba y adelantó a todos los clientes. También ha obtenido acceso a Project Glasswing con la aprobación del Departamento del Tesoro de Estados Unidos, un acceso que había solicitado antes del ataque.

Presentó una denuncia ante el IC3 (Internet Crime Complaint Center), el centro del FBI que recibe las denuncias de delitos en internet, y una firma forense externa sigue investigando. Wiz cuenta al menos nueve plataformas de desarrollo de IA atacadas en octubre; Railway aclara que ese trabajo no atribuye su incidente a ningún autor.

NEAR AI: el fallo estaba dentro

NEAR AI, empresa de IA que vende inferencia (inference) privada y verificable, fundada por Illia Polosukhin, coautor de «Attention Is All You Need», el artículo de 2017 que presentó la arquitectura transformer, publicó su informe el 9 de noviembre. Según la empresa, el día 8 un tercero explotó un fallo de ejecución remota de código en SGLang, el motor de código abierto que sirve modelos en sus servidores.

Descargó datos de cuenta de unos 100 usuarios, accedió a 18 agentes antiguos que no corrían en su entorno confidencial y podría haber visto peticiones en modo confidencial de ese servidor. La empresa no ha visto indicios de acceso a conversaciones guardadas ni a ficheros subidos.

La propia NEAR AI saca la lección: la computación confidencial «no protege frente a una vulnerabilidad en el software que corre dentro del entorno». Ha desplegado el arreglo y avisado a SGLang.