アプリの構築と運用を代行するクラウドサービス「Railway」は11月10日、10月に起きた不正侵入で顧客のAIサービス用の利用キーが盗まれ、それを使った不正な利用料金が推定74万ドルにのぼると明らかにしました。同社は、AIサービスの提供元が返金に応じない場合、その料金を自社で負担すると約束しています。10月26日の時点では「盗まれたキーによる利用分は返金できない」と説明していたため、方針を改めた形です。
Railwayのようなサービスでは、利用者がアプリを動かすために必要な「APIキー」(外部サービスを使うための合言葉のようなもの)やデータベースのパスワードを、「環境変数」という形で預けておきます。同社の報告によると、攻撃者は最大で全体の1.85%、約10万のワークスペース(利用者ごとの作業領域)の環境変数を解読できる状態にあり、その中からAIサービスのキーを狙って探していました。ただし、どの値が実際に読まれたかまでは記録から判別できないため、約10万という数字はあくまで上限です。このほか、1,852人分の連携用トークン(GitHubとの連携などに使う認証情報)も解読されましたが、すべてリセット済みで、盗まれた情報を使った顧客アカウントへのログインは確認されていないとしています。
侵入の入り口になったのは、アプリを組み立てる「ビルド」の仕組みにあった未知のセキュリティホールでした。攻撃者は10月20日、本来は他と隔離されているはずのビルド環境から抜け出して内部用の認証情報を手に入れ、そこから同社の社内コードを入手。さらにクラウドの設定ミスを見つけて権限を広げ、翌21日に顧客の環境変数を解読できる認証情報にたどり着きました。最初の侵入から担当者に警報が届くまでに約6時間半かかり、攻撃者が完全に締め出されたのは21日の午前(協定世界時)です。同社は、盗まれたキーはAIサービスへのアクセスを中継・転売する業者に使われたとみていますが、攻撃者の正体は特定されていません。
返金の扱いはAIサービスごとに異なります。AWS BedrockとGoogle Geminiは既存の不正利用の返金規定で対応が始まっており、OpenAIなどは個別審査です。Anthropicとは協議中で、その間はRailwayが費用を負担します。返金しない方針のOpenRouterについては、Railwayが全額を負担するとしています。一方で、74万ドルという額の算出方法や対象期間、請求の上限や期限は示されていません。
Railwayの利用者は、10月21日より前に預けていたキーやパスワードを、発行元のサービス側で無効化して作り直す必要があります(不正請求の報告フォームを出すだけではキーは無効になりません)。あわせて、データベースを外部に公開しない設定にすること、GitHubの操作記録や連携アプリを見直すことも勧められています。セキュリティ企業Wizによれば、10月にはAI開発向けのサービス少なくとも9社が同様の被害を公表しており、どれも「預けられたAIの利用キー」が狙われました。AIのキーは使った分だけ請求が膨らむ“現金に近い情報”です。どこに預けているかを把握し、利用額の上限やアラートを設定しておくことが、開発者にとって欠かせない備えになっています。