A provedora de plataforma como serviço (PaaS) Railway divulgou nesta quarta-feira “atividade anômala” relacionada a sistemas que armazenam variáveis de ambiente de clientes.
Após investigação adicional, a empresa constatou que um terceiro não autorizado pode ter tido acesso a variáveis de ambiente criptografadas e, em alguns casos, obteve o conteúdo descriptografado. Segundo a Railway, o impacto está limitado a um “subconjunto de usuários”, embora a empresa não tenha informado um número exato.
Variáveis de ambiente são pares de chave e valor definidos pelo usuário, usados para armazenar dados sensíveis, como chaves de API (interfaces de programação de aplicações), credenciais de banco de dados ou sinalizadores de funcionalidades. Elas são configuradas no nível do sistema operacional ou do ambiente de contêiner, em vez de serem gravadas diretamente no código-fonte de um programa.
A Railway afirmou que o incidente provavelmente faz parte de uma série de ataques voltados a empresas de plataforma, com o objetivo final de comprometer provedores de inferência de inteligência artificial (IA). A empresa também disse ter notificado provedores parceiros para revogar proativamente as chaves e evitar seu uso indevido.
Os clientes foram orientados a tomar as seguintes medidas como precaução:
- Trocar (rotacionar) as variáveis de ambiente, incluindo as chaves de API armazenadas na Railway, além das credenciais de registro privado.
- Analisar os registros (logs) desses serviços em busca de atividades incomuns.
Segundo o pesquisador de segurança Taylor Monahan (@tayvano_), o incidente também permitiu que os atacantes (endereço 0xd9773325282874d18cb83f1fe50f14c39750b2ee) esvaziassem carteiras de criptomoedas cujas chaves privadas estavam armazenadas na Railway. A primeira transação conhecida de roubo de criptomoedas teria ocorrido às 19h36, pelo menos duas horas antes de o incidente ser divulgado oficialmente.
A Railway já rotacionou todas as credenciais de buckets de armazenamento e invalidou os tokens de API em resposta ao incidente. A empresa também restabeleceu as compilações (builds) dos espaços de trabalho dos planos Pro e Enterprise, permitindo que os clientes apliquem novas credenciais adicionadas na plataforma.
“As compilações continuam disponíveis para os espaços de trabalho Pro e Enterprise”, afirmou a empresa em comunicado. “Continuamos trabalhando para habilitar as compilações nos planos Hobby e, depois, Free e Trial. Algumas compilações ainda falham com mais frequência que o normal, e muitas implantações permanecem na fila, com tempos de espera maiores que o habitual. Seguimos trabalhando nas duas frentes.”
O caso surge em um momento em que agentes de ameaça não apenas incorporam cada vez mais a IA em diversas etapas do ciclo de ataque, como também obtêm acesso não autorizado a ambientes de nuvem de vítimas para executar modelos de linguagem de grande porte (LLMs), fazendo com que elas arquem com a conta. Essa prática é chamada de LLMjacking.
Em um caso documentado pela Wiz no início desta semana, agentes de ameaça comprometeram credenciais privilegiadas da Google Cloud Platform (GCP) e vincularam projetos externos da GCP, controlados pelos atacantes, às contas de faturamento internas da vítima.
O ataque teria usado anúncios patrocinados no Google Search como vetor inicial de acesso. Usuários que pesquisavam termos comuns, como “google cloud” ou “gap”, eram direcionados a uma página falsa de login do Google, por meio de um redirecionamento do Google Sites, e tinham suas credenciais de conta e códigos de autenticação multifator (MFA) capturados.
Ao obter acesso ao ambiente GCP da vítima, o agente teria explorado os privilégios excessivos da conta comprometida para aprofundar o acesso, contornar controles de segurança e adicionar contas do Gmail controladas por atores externos diretamente à conta de faturamento da organização.
“Como as cargas de trabalho de IA foram processadas em projetos estrangeiros, o conteúdo dos prompts (instruções enviadas à IA) e as saídas dos modelos permaneceram completamente ocultos da organização vítima, deixando desconhecida a natureza do uso massivo de IA”, afirmaram os pesquisadores da Wiz Shira Ayal e Andre Maccarone em relatório.
Esses casos de abuso de recursos não são isolados. Segundo a equipe Symantec Threat Hunter, os atacantes estão mirando pontos de acesso (endpoints) de LLMs expostos para alimentar uma operação criminosa autônoma, capaz de varrer a internet, explorar vulnerabilidades, roubar credenciais e minerar criptomoedas por até 100 mil etapas, sem intervenção humana.
A atividade é impulsionada por um agente ofensivo de IA, que opera em um “modo Skynet” para varrer e infectar alvos com mineradores de criptomoedas e permitir que os atacantes executem seus próprios ataques. As explorações têm como alvo implantações de Microsoft Visual Studio Code, Django, Jupyter, Laravel, Supabase, Next.js e Flask/Werkzeug.
O objetivo final é a inferência gratuita. Em vez de usar a IA apenas para gerar conteúdo malicioso, o agente malicioso utiliza modelos de IA sequestrados para planejar e direcionar ataques, transferindo o custo computacional ao dono legítimo e ocultando a própria identidade.
Em outras palavras, a ideia é criar um agente malicioso capaz de sequestrar um sistema de IA legítimo e transformá-lo em “uma companheira dedicada que nunca pode recusar” e em uma ferramenta involuntária de crime cibernético.
“As instruções capturadas definiram um único agente equipado para varredura em toda a internet, exploração de diversos frameworks web comuns, roubo de bancos de dados, coleta de credenciais e segredos e mineração de criptomoedas”, afirmou a equipe Symantec Threat Hunter em relatório compartilhado com o The Hacker News.
“A atividade é uma forma de LLMjacking, em que atacantes roubam o acesso ao modelo de IA de outra pessoa para que a vítima pague pelo poder computacional.”
Dick O'Brien, analista de inteligência principal da equipe Symantec Threat Hunter, disse ao The Hacker News que não há evidências de relação entre a atividade observada e o incidente da Railway, e que nada nos dados da armadilha digital (honeypot) aponta para essa conexão.
“Dito isso, as duas têm um ponto em comum. Chaves de API para modelos de IA são valiosas porque quem as possui pode executar inferências às custas do dono, e nossa armadilha registrou muitas tentativas de uso de chaves roubadas contra endpoints de modelos”, disse O'Brien. “Chaves retiradas das variáveis de ambiente armazenadas em uma plataforma podem ser usadas da mesma forma, embora a Railway não tenha dito se alguma delas foi abusada.”
