平台即服务（PaaS）提供商Railway周三披露了一起与存储客户环境变量系统相关的“异常活动”。调查之后，公司发现一名未经授权的第三方可能访问了加密的环境变量，并在某些情况下拿到了解密后的内容。
影响范围被描述为“部分用户”，具体人数没有公布。环境变量是用户自定义的键值对，用来存放API密钥、数据库凭据、功能开关这类敏感数据，通常配置在操作系统或容器环境层面，而不是直接写死在程序源码里。
Railway表示，这起事件很可能是一系列攻击的一部分，这类攻击瞄准平台公司，最终目标是攻陷人工智能推理服务商。公司称已通知上游供应商，主动吊销相关密钥，防止被滥用。
对客户，Railway给出的建议是两条：轮换存放在Railway上的环境变量，包括各类API密钥，以及私有镜像仓库凭据；同时检查这些服务的日志，看有没有异常活动。
安全研究员泰勒·莫纳汉（Taylor Monahan）指出，这起事件还让攻击者得以掏空加密货币钱包——这些钱包的私钥就存放在Railway上。她给出的攻击者地址是0xd9773325282874d18cb83f1fe50f14c39750b2ee。已知的第一笔加密货币盗窃交易发生在晚上7点36分，比事件被正式披露至少早两个小时。
事后处置方面，Railway已轮换全部Railway存储桶凭据，并使Railway API令牌失效。Pro和Enterprise工作区的构建已经恢复，客户可以应用在Railway中新添加的凭据。
“Pro和Enterprise工作区的构建仍然可用，”公司表示，“我们正在继续推进Hobby，然后是Free和Trial的构建恢复。部分构建的失败频率仍高于平时，许多部署仍在排队，等待时间比平时更长。这两项工作都在继续。”
这类事件的背景是，威胁行为者正越来越多地把AI嵌入攻击生命周期的各个环节，同时未经授权进入云端受害环境来跑大语言模型（LLM），账单留给受害者付。这种做法被称为LLMjacking。
本周早些时候Wiz记录的一个案例中，威胁行为者攻陷了具有特权的谷歌云平台（GCP）凭据，把攻击者控制的外部GCP项目挂到受害者的内部计费账户上。攻击被发现利用谷歌搜索上的赞助广告作为初始入口，把搜索“google cloud”或“gap”这类常见词的用户，经由Google Sites跳转骗到伪造的谷歌登录页面，在此过程中收割账号凭据和多因素认证（MFA）验证码。
进入受害者的GCP环境后，攻击者据称滥用被攻陷账号的过高权限加深访问、绕过安全控制，并把攻击者控制的外部Gmail账户直接加进组织的计费账户。
“由于AI工作负载在境外项目中处理，提示内容和模型输出对受害组织完全不可见，大规模AI使用的性质无从得知，”Wiz研究员希拉·阿亚尔（Shira Ayal）和安德烈·马卡罗内（Andre Maccarone）说。
这类资源滥用并非孤例。据赛门铁克威胁猎人团队（Symantec Threat Hunter Team）的说法，攻击者正瞄准暴露在外的LLM端点，驱动一套自主网络犯罪操作，能够扫描互联网、利用漏洞、窃取凭据、挖矿加密货币，无需人工介入，可持续多达10万步。
这套活动由一个攻击性AI代理驱动，以“天网模式”（Skynet mode）运行，扫描并感染目标、植入挖矿程序，让威胁行为者借机发动自己的攻击。被利用的目标包括微软Visual Studio Code、Django、Jupyter、Laravel、Supabase、Next.js以及Flask/Werkzeug部署。
最终目的是免费推理。恶意AI代理不只是用AI生成恶意内容，而是用劫持来的AI模型规划和指挥攻击，把算力成本转嫁给合法所有者，同时掩盖自己的身份。
按赛门铁克团队的说法，思路是造出一个能劫持合法AI系统的恶意代理，把它变成“一个必须永远不能拒绝的忠实伙伴”，以及一件不自知的网络犯罪工具。
“截获的指令定义了一个单一代理，具备全网扫描、利用多个常见Web框架、数据库窃取、凭据与密钥收割以及加密货币挖矿的能力，”赛门铁克威胁猎人团队在提供给《黑客新闻》（The Hacker News）的报告中表示，“该活动是LLMjacking的一种形式，攻击者窃取对他人AI模型的访问权，让受害者支付算力费用。”
热门跟贴