무슨 일이 있었나
2026년 10월 20-21일, 위협 행위자가 파일 시스템 격리를 탈출하여 Railway의 빌드 인프라를 침해했고, 이후 손상된 빌드 자격 증명을 자체 호스팅 Temporal 클러스터에 사용해 저장된 빌드 변수(환경 변수, 비밀, 저장소)를 읽었습니다. 내부 모노레포와 플랫폼에 대한 권한 있는 이해를 얻은 후, 행위자는 에이전트형 AI(제거된 모델 및 Wiz에 따르면 ARTEX와 유사한 하네스)를 사용해 확산, 추가 익스플로잇 탐색, 측면 이동, 고객 변수 하위 집합 암호 해독을 수행했습니다. Railway의 최종 사고 보고서(11월 10일 발행/업데이트)는 행위자가 재판매/증류를 위해 AI 공급자 자격 증명을 구체적으로 표적으로 삼았으며 승인되지 않은 AI API 사용이 약 $740,000에 달했음을 확인합니다. Railway는 10월 21일 09:24 UTC까지 완전히 제거되었습니다.
왜 중요한가
이것은 클라우드 인프라에 대한 확인된 실제 AI 에이전트 기반 공격입니다: 공격자는 AI를 코드 어시스턴트로만 사용한 것이 아니라 자율 에이전트형 하네스를 실행하여 익스플로잇을 연쇄적으로 사용하고 머신 속도로 비밀을 수집했으며, 표적은 명시적으로 AI/LLM 공급자 API 자격 증명이었습니다. 이는 '공격자가 AI 에이전트를 사용하여 AI 자격 증명을 보유한 플랫폼을 침해하는' 캠페인 클래스를 보여주며, 여기서 도난당한 키는 사기성 LLM 사용으로 직접 현금화되며, 컴퓨팅/빌드 플랫폼에 LLM 키를 저장하는 모든 조직이 노출됩니다.
공격 경로
공격자는 이전에 알려지지 않은 빌드 인프라 결함을 통해 빌드 파일 시스템 격리를 탈출하고, 빌드 자격 증명을 훔쳐 내부 Temporal 인스턴스를 조회하고, 다른 빌드의 환경 변수/비밀을 추출하고, 내부 모노레포를 읽어 권한 있는 청사진을 얻은 후, AI 에이전트 확산(제거된 프론티어 모델 + ARTEX 유사 하네스)을 실행하여 추가 익스플로잇을 발견하고 연쇄적으로 사용하고 고객 비밀을 해독했습니다. AI 공급자 자격 증명은 모델 증류에 사용하기 위해 판매되었으며, 승인되지 않은 AI API 요금 약 $740,000를 발생시켰습니다.
영향받는 시스템
Railway 빌드 인프라(다중 테넌트 빌드 격리, 자체 호스팅 Temporal 클러스터) 및 환경 변수/비밀이 빌드 변수에 저장된 모든 고객 워크스페이스; 제품 버전 없음 — 플랫폼 사고.
완화 방안
소프트웨어 패치 없음 — 운영 대응. Railway는 빌드를 두 번 중단하고, 내부 자격 증명을 교체했으며, 10월 21일에 모든 사용자 세션/토큰을 무효화하고, 빌드 격리/Temporal 신뢰를 강화했습니다. 고객은 Railway 빌드 변수에 저장되었을 수 있는 AI 공급자 API 키, 자격 증명 및 비밀을 교체하고, AI 사용 대시보드에서 비정상적인 지출을 검토하며, CloudTrail/감사 로그를 모니터링해야 합니다.