Railway разкри инцидент със сигурността, при който неупълномощена трета страна може да е получила достъп до променливи на средата (environment variables) на клиенти, включително до някои декриптирани стойности. Облачната платформа предупреди, че засегнатите данни могат да съдържат API ключове, пароли за бази данни и идентификационни данни за частни регистри, и призова всички клиенти да подменят съхраняваните тайни (secrets).

Компанията публикува своето съобщение за сигурност на 21 октомври 2026 г., след като засече необичайна активност в системите, съхраняващи тези променливи. Първоначалните констатации сочат, че може да са засегнати само част от потребителите. Въпреки това Railway не съобщава точния брой засегнати акаунти, не идентифицира атакуващия и не обяснява как е бил осъществен достъпът.

Инцидент със сигурността в Railway

Променливите на средата съхраняват настройки, от които приложенията се нуждаят по време на компилиране (builds) и нормална работа. Документацията на Railway пояснява, че тези стойности могат да включват конфигурационни детайли и тайни, подавани към услугите. Това превръща системата за съхранение в чувствителна мишена, тъй като откраднатите идентификационни данни биха могли да предоставят на атакуващите достъп до свързани услуги извън самата платформа Railway.

Ключовата разлика е, че Railway съобщава за възможен достъп до криптирани променливи, а за някои – и до декриптираното им съдържание. Това не доказва непременно, че атакуващите са разбили криптирането. Уведомлението не дава яснота как са били придобити четими стойности, оставяйки тази част от разследването все още неизяснена.

От Railway смятат, че инцидентът е част от скорошна поредица от атаки срещу платформени компании, целящи компрометиране на доставчици на AI изчислителни ресурси (AI inference). Тези доставчици изпълняват модели с изкуствен интелект в отговор на потребителски заявки. От Railway посочват, че са уведомили доставчиците нагоре по веригата и са поискали превантивното оттегляне на ключовете, но не разкриват кои са тези доставчици.

Предполагаемият фокус върху достъпа до AI ресурси отразява по-широк риск от кражба на идентификационни данни. Cybersecurity News по-рано отрази атака от типа LLMjacking с изтекъл AWS ключ, при която откраднатият достъп е бил използван за изпълнение на платени AI модели за сметка на жертвата. От Railway не потвърждават дали в този инцидент е извършена подобна злоупотреба.

Свързани доклади за AI агенти, които излагат на риск API ключове и облачни тайни, също показват защо управлението на тайните е от решаващо значение в съвременните инструменти за разработка. Този доклад описва компрометиране чрез конфигурационни файлове, изход от команди и контекст на модела. Това е само контекст относно риска при идентификационните данни, а не доказателство за начина, по който атакуващите са проникнали в системите на Railway в конкретния случай.

Временно спиране на внедряванията при текуща подмяна на идентификационни данни

Railway временно спря внедряванията (deployments) по време на разследването, възпрепятствайки клиентите да публикуват нови версии на приложенията си. Страницата за статус на инцидента потвърди, че компилациите остават недостъпни към 02:19 UTC на 22 октомври. Ограничението засяга и процеса на възстановяване, тъй като някои промени в идентификационните данни изискват услугите да бъдат внедрени наново, преди приложенията да могат да използват подменените стойности.

Като предпазна мярка компанията започна и ротация на всички идентификационни данни за съхранение в Railway (storage buckets). Новите данни ще се появят автоматично в таблата за управление на клиентите. Въпреки това от Railway заявиха, че приложенията не могат да бъдат внедрени отново, за да поемат новите данни, докато компилациите не бъдат възстановени, което създава допълнителна пречка за възстановяване пред клиентите, чиито услуги зависят от тези хранилища.

Railway препоръчва незабавна подмяна на всички тайни, съхранявани като променливи на средата, включително API ключове и данни за достъп до частни регистри, както и проверка на логовете на свързаните услуги за необичайна активност. Клиентите не трябва да чакат официално потвърждение дали техният акаунт е бил засегнат. Компанията публикува ръководства за пароли за бази данни, използване на AI доставчици, облачен достъп и активност в GitHub.

От Railway заявиха, че ще изпратят имейл директно на клиентите веднага щом засегнатите акаунти бъдат окончателно потвърдени. Разследването продължава, като пълният мащаб все още не е напълно изяснен.