云托管平台 Railway 近日披露一起严重安全事件，攻击者利用零日漏洞入侵其构建基础设施，窃取大量客户 AI API 密钥及云凭证。据初步统计，由此产生的未经授权 AI 使用费用高达约 74 万美元。
- 攻击者通过零日漏洞突破文件系统隔离，获取内部凭证并横向移动至核心系统
- 被盗密钥被用于大规模模型训练和自动化任务，造成约 740,000 美元的欺诈性消费
- Railway 与具备 AI 辅助能力的攻击者进行了长达 26 小时的对抗，最终成功遏制入侵
多租户架构下的隔离失效
Railway 是一家面向开发者的云托管服务商，主要提供应用程序的构建、部署及运行环境，涵盖网站托管、API 服务、数据库管理（如 PostgreSQL 和 MySQL）、GitHub 仓库集成以及容器化资源分配等功能。与其他主流云提供商类似，Railway 采用多租户架构，理论上同一虚拟机上的不同构建实例应保持完全隔离。
由于许多客户在平台上存储用于调用 AI 服务的 API 密钥作为环境变量，以便托管应用能与 AI 模型通信，这使得相关数据成为高价值目标。根据 Railway 发布的事件报告，未知威胁行为者利用了其构建基础设施中的一个此前未知的零日漏洞，实现了“部分文件系统隔离逃逸”，从而读取了存储在主机虚拟机上的文件。
这些文件中包含构建服务器用于认证内部特定子系统的凭证。攻击者在获取初始访问权限后，尝试在多个系统中复用该凭证，并最终发现其可访问 Railway 内部的任务管理系统 Temporal。在 Temporal 中，攻击者发现了内部代码库的一个副本，并识别出一个身份验证机制的配置错误。
利用这一配置缺陷，攻击者进一步渗透至其他内部系统，成功获取了解密加密客户环境变量生产数据库所需的凭证及解密方法。
AI 密钥滥用与潜在的黑市交易
此次攻击的主要目标是企业用户的人工智能服务 API 密钥。攻击者利用这些密钥访问付费 AI 服务，导致受害者承担巨额账单。Railway 估算，涉及编程代理和 AI 训练流水线的未授权消费总额约为 74 万美元。
分析认为，攻击者很可能将这些密钥在黑市上进行转售，潜在用途包括支持“模型蒸馏”（Model Distillation）。模型蒸馏是指训练一个较小的人工智能模型以模仿更大、更强大模型的能力和行为，通常通过向原始模型发送大量查询并利用返回数据作为训练集来实现。尽管无法直接证实，但业界普遍认为这是部分中国 AI 模型能够与美国前沿模型竞争的技术路径之一。
Railway 指出，在事件发生期间，多达 100,000 个客户工作区的环境变量可能已被解密。公司强调，这一数字仅代表理论上的上限，而非已确认受损账户的确切数量。
人机对抗与后续处置
本次入侵始于 10 月 20 日约 07:28，持续至 10 月 21 日 09:24，历时 26 小时。在此期间，Railway 工程师团队轮班作业，应对攻击者同时探测多条潜在入侵路径的行为。安全研究公司 Wiz 表示，随着事态升级，这场攻防战演变为一种“代理速度竞赛”，即防御方与具备 AI 辅助能力的攻击方在响应速度上展开较量。
目前，Railway 已关闭被利用的零日漏洞，重建了受影响的基础设施，并强制轮换所有受损凭证。此外，该公司正与多家 AI 供应商合作，退还因欺诈性使用产生的费用，并承诺承担供应商拒绝报销部分的损失。
