if ( !emtpy($headline_subheadline ) ) : ?>
Les attaquants ont utilisé les informations d’identification des clients des chemins de fer pour utiliser frauduleusement l’IA, révélant ainsi comment les identités de machines volées peuvent alimenter la distillation de modèles tout en répartissant les coûts entre les clients légitimes.
endif; ?>
À mesure que la formation et la distillation des modèles d’IA augmentent, les jetons d’IA deviennent une monnaie très prisée pour les acteurs menaçants.
Le fournisseur d’hébergement cloud Railway l’a découvert à ses dépens ; il a confirmé une bataille de près de 26 heures contre des attaquants ciblant les informations d’identification des fournisseurs d’IA pour les vendre à des « stations de transfert » d’IA pour les utiliser dans la distillation de modèles. Les escrocs ont généré environ 740 000 $ de frais d’utilisation frauduleuse de l’IA en utilisant les informations d’identification volées et ont potentiellement eu accès à jusqu’à 100 000 informations d’identification d’espace de travail.
Railway a déclaré que les recherches dans la base de données de l’attaquant recherchaient avant toute chose les clés du fournisseur d’IA par leur nom ; certaines requêtes ciblaient également les informations d’identification du cloud, des bases de données et des services de paiement.
La société a révélé l’incident le 22 octobre et a publié un rapport de suivi cette semaine. En raison de l’enquête en cours, il n’est pas en mesure de partager les détails spécifiques et l’ampleur des exploits, mais a conseillé aux utilisateurs de révoquer et de réappliquer les variables environnementales sensibles stockées sur Railway avant le 21 octobre.
« Les identifiants IA sont en train de devenir les nouveaux numéros de carte de crédit », a déclaré David Shipley de Beauceron Security. « Le soi-disant LLMjacking devrait remplacer le Cryptojacking en tant que moyen bon marché et évolutif de gagner de l’argent. »
Une bataille de 26 heures
L’attaque a débuté le 20 octobre, lorsque des pirates ont exploité une vulnérabilité jusqu’alors inconnue dans l’infrastructure de construction de Railway. Ils ont pu échapper aux protections d’isolation du système de fichiers et obtenir des informations d’identification internes qu’ils ont utilisées pour accéder aux historiques de build stockés. À partir de là, ils ont récupéré une copie du code source interne de Railway et l’ont analysé pour identifier d’autres pistes de compromis.
Ils ont ensuite exploité une autre vulnérabilité impliquant une relation de confiance mal configurée qui leur a permis d’accéder encore plus à l’infrastructure de Railway et d’obtenir les informations d’identification utilisées pour décrypter les variables de l’environnement client.
Au cours d’une bataille de près de 26 heures, l’équipe d’ingénierie de Railway a travaillé 24 heures sur 24, 7 jours sur 7, et la situation qui s’aggravait est devenue un « concours de vitesse des agents », a expliqué la société. L’acteur malveillant a enchaîné divers exploits, s’est déplacé latéralement sur plusieurs systèmes et « a sondé de nombreuses routes potentielles en parallèle ». Les défenseurs ont à leur tour durci les routes en parallèle.
« Il ne s’agissait pas d’une seule violation suivie d’une seule solution », a écrit Railway.
Les auteurs de la menace ont été « entièrement expulsés » le 21 octobre, mais au cours de leur séjour dans le système, ils ont obtenu et déchiffré un « sous-ensemble » de variables client, soit environ 100 000, soit « au maximum » 1,85 % des espaces de travail. Ils ont également accumulé 740 000 $ de frais d’utilisation frauduleuse de l’IA, des clients signalant que leurs clés répondaient à des questions de codage et effectuaient des tâches de données de formation qu’ils n’avaient jamais exécutées. L’entreprise s’efforce de rembourser les clients, y compris pour les frais que les fournisseurs refusent de rembourser.
La violation a également révélé des jetons de comptes liés appartenant à plus de 1 850 utilisateurs, parmi lesquels des jetons GitHub et OAuth que Railway dit avoir réinitialisés. L’entreprise a travaillé rapidement avec GitHub, GitLab, Anthropic, OpenAI, OpenRouter, SpaceXSI, Stripe et d’autres pour révoquer les clés potentiellement compromises.
À la suite de l’attaque, il a été conseillé aux clients de supprimer l’accès aux bases de données sur le réseau public ; faites pivoter toutes les variables et clés sensibles ; vérifiez les journaux d’audit du compte GitHub et examinez tous les accès aux applications ; et vérifiez les journaux d’audit dans des registres tels que Dockerhub.
Sur ses propres systèmes, Railway a déclaré avoir fermé tout outil interne potentiellement compromis ; a roulé toutes les clés et « les a ensuite relancées » après avoir vérifié que les intrus avaient été exclus ; déplacé vers une nouvelle génération d’infrastructures ; outillage reconstruit utilisé pour faire fonctionner son infrastructure ; et une fonctionnalité ajoutée pour révoquer en masse les autorisations des applications ferroviaires en cas d’activité suspecte à l’avenir.
Pourquoi les attaquants veulent des clés IA
Les informations d’identification en matière d’IA sont peu coûteuses à récolter à grande échelle, a noté Shipley ; les attaquants peuvent s’attaquer à un fournisseur comme Railway plutôt que d’essayer de cibler une entreprise à la fois. Cet accès peut ensuite être revendu pour générer des revenus via des routeurs dits IA, qui donnent accès à des modèles que les utilisateurs ne pourraient autrement pas se permettre, ni même atteindre.
Cela fait de cet accès un produit très prisé pour des tâches telles que la distillation, qui transfère les connaissances d’un modèle plus grand à un modèle plus petit afin de réduire les coûts et d’améliorer l’efficacité.
Former un modèle sur les réponses d’un autre modèle à grande échelle nécessite des millions de questions, a déclaré Frank Dickson de Dickson Research, et un seul récit posant des millions de questions se démarque. Les clés volées propagent ces questions à des milliers de vrais clients.
« Pensez à copier un manuel page par page, en utilisant des cartes de bibliothèque appartenant à d’autres personnes », a expliqué Dickson. Frontier AI coûte cher à l’achat, et le propriétaire des clés reçoit la facture tandis que le voleur bénéficie d’un calcul gratuit.
« Il s’agit de la version 2026 du cryptomining ; (le) même manuel avec un résultat différent », a-t-il déclaré.
Gérer les identités alors que tant de personnes sont détenues par des machines
Même si les faits sont laids, Railway mérite d’être félicité pour un « rapport remarquablement franc », a souligné Dickson : il est propriétaire de sa propre erreur de configuration, il admet qu’il ne peut pas être sûr d’avoir trouvé tous les comptes créés par l’attaquant, et il s’engage à informer les clients des problèmes plus rapidement à l’avenir.
Les chemins de fer passent désormais à des informations d’identification de courte durée et enregistrent chaque décryptage. C’est la bonne solution, a déclaré Dickson, et chaque plateforme détenant des secrets clients devrait la copier.
« Les clients des chemins de fer devraient considérer chaque secret stocké sur la plate-forme comme volé jusqu’à ce qu’ils l’aient fait tourner », a-t-il noté. Mais cette rotation doit battre l’horloge du voleur ; une enquête menée par Wiz a révélé que les clés volées avaient été testées dans les 30 minutes suivant le vol, puis inondées de trafic quatre à sept jours plus tard.
Commencez par les clés du fournisseur d’IA, puis alternez les informations d’identification du cloud, de la base de données et des paiements, a-t-il conseillé. Vérifiez les factures des fournisseurs d’IA et les journaux d’utilisation pour le trafic que les équipes internes n’ont pas généré, puis signalez tout frais non autorisé à Railway. Alerte sur tout appel provenant d’une adresse non reconnue.
De plus, a-t-il dit, limitez les dégâts qu’une seule clé peut causer. Définissez des plafonds de dépenses stricts et des alertes d’utilisation pour chaque clé IA, et étendez la portée de chaque clé aussi étroitement que le permet le fournisseur. Cela fonctionne vraiment : dans un cas examiné par Wiz, une clé limitée à un ensemble restreint de profils de modèles a limité la majeure partie du trafic du voleur.
Les utilisateurs non ferroviaires, quant à eux, devraient poser deux questions à leurs fournisseurs de plateforme : comment mes secrets sont-ils stockés et qui peut les décrypter ? Une bonne pratique standard : émettez moins de clés. « Personne n’a jamais dit lors d’une rotation de clés qu’il aurait souhaité avoir émis plus de clés », a souligné Dickson.
En fin de compte, a-t-il déclaré, une clé d’IA volée coûte de l’argent réel, et les machines détiennent désormais la plupart des clés. « Protégez les identités des machines comme l’argent liquide, car pour un voleur, c’est exactement ce qu’elles sont », a insisté Dickson.
