La plateforme d’hébergement Railway a publié le 10 novembre son rapport sur l’intrusion subie en octobre : les clés volées chez ses clients ont servi à consommer environ 740 000 dollars de services d’intelligence artificielle à leur insu. Le document décrit une attaque en chaîne de 26 heures, menée et combattue à la vitesse des agents IA. Il éclaire surtout un phénomène plus large : les clés d’API des fournisseurs d’IA sont devenues une monnaie que des pirates s’arrachent.
Une attaque en cinq maillons
Railway permet aux développeurs de déployer leurs applications sans gérer de serveurs. Selon son rapport d’incident, l’attaquant a d’abord tenté de créer des comptes factices dès le 18 octobre, puis exploité le 20 octobre une faille inconnue dans l’infrastructure de compilation pour sortir partiellement de l’isolation prévue. De là, il a récupéré un identifiant interne, consulté l’historique de 353 compilations et copié le dépôt de code source interne de l’entreprise.
Le pirate a ensuite enchaîné les faiblesses : une configuration erronée de l’authentification auprès d’un fournisseur cloud lui a livré un identifiant temporaire, grâce auquel il a obtenu une clé SSH et un identifiant plus durable sur une machine d’orchestration. Ces accès lui ont permis de lire la base où sont stockées, chiffrées, les variables d’environnement des clients, et de les déchiffrer. Railway résume l’épisode en refusant l’idée d’une intrusion unique suivie d’un correctif unique. L’attaquant a été expulsé le 21 octobre au matin, environ 26 heures après le premier exploit.
Les clés d’IA, cible prioritaire
Les recherches de l’attaquant visaient surtout les clés de fournisseurs d’IA, mais aussi des identifiants cloud, de bases de données et de paiement. Railway évalue à 1,85 % de ses espaces de travail au maximum, soit environ 100 000, ceux dont certaines variables ont pu être déchiffrées. Il s’agit d’une borne haute, pas d’un décompte de victimes confirmées, insiste BleepingComputer. Des jetons liés aux comptes de 1 852 utilisateurs, dont des accès GitHub, ont aussi été réinitialisés. L’entreprise dit n’avoir trouvé aucune trace d’accès aux bases de données de ses clients.
Les 740 000 dollars de consommation frauduleuse se répartissent entre plusieurs fournisseurs, qui ne réagissent pas tous de la même façon. Toujours selon le rapport, AWS Bedrock et Google Gemini remboursent via leurs procédures habituelles contre la fraude, OpenAI examine les dossiers au cas par cas, les discussions se poursuivent avec Anthropic, et OpenRouter refuse de rembourser. Railway s’engage à prendre à sa charge ce que les fournisseurs ne couvriront pas.
Une campagne qui dépasse Railway
L’incident s’inscrit dans ce que la société de sécurité Wiz appelle « Black October » : au moins neuf plateformes destinées aux développeurs d’IA ont signalé des intrusions en octobre, parmi lesquelles Lightning AI, OpenCode, Warp et Northflank, suivies d’autres depuis. Le point commun est la quête de clés donnant accès aux modèles, pour du « LLMJacking », c’est-à-dire l’usage de l’IA aux frais d’un autre, ou pour la revente. Wiz décrit un cas où environ 1,7 million d’appels à Bedrock ont été passés en treize heures, et relie l’usage de clés volées à deux services de revente, sans pouvoir prouver leur lien direct avec les attaques. Railway avance aussi l’hypothèse de tentatives de distillation, qui consistent à entraîner un modèle à partir des réponses d’un autre.
Le rapport décrit enfin un rapport de force singulier : un attaquant s’appuyant sur des modèles débridés et des agents lancés en parallèle, face à des défenseurs contraints de suivre le rythme. La société elle-même a fait parler d’elle début novembre pour un autre motif. D’après CSO Online, un de ses ingénieurs a reconnu que des agents de test qu’il avait lancés avaient sondé l’infrastructure d’un concurrent, Primcloud ; le patron de Railway, Jake Cooper, s’est excusé et a promis d’interdire ce type de tests externes automatisés.
Ce que doivent faire les développeurs
Railway demande à ses clients de signaler toute facturation qu’ils ne reconnaissent pas et de renouveler les identifiants exposés ; ses jetons d’API et de projet ayant été invalidés, ils peuvent devoir se reconnecter. Les clients les plus exposés sont invités à couper leurs déploiements. Au-delà de cette plateforme, la leçon vaut pour toute équipe qui stocke des clés d’IA chez un hébergeur :
- fixer des plafonds de dépense et des alertes chez chaque fournisseur d’IA ;
- utiliser des clés distinctes par projet, pour limiter les dégâts et repérer l’origine d’un abus ;
- renouveler régulièrement les secrets, et immédiatement après tout incident chez un prestataire ;
- surveiller les relevés d’usage, car une clé volée se transforme en facture en quelques heures.
Questions fréquentes
Combien de clients de Railway sont concernés ?
Railway estime qu’au plus 1,85 % de ses espaces de travail, soit environ 100 000, ont pu voir certaines variables déchiffrées. C’est un plafond théorique : le nombre de secrets réellement volés n’est pas connu.
Les victimes seront-elles remboursées ?
Selon le rapport, plusieurs fournisseurs d’IA remboursent ou examinent les dossiers, et Railway s’engage à couvrir les montants qu’ils refuseraient de prendre en charge. Les clients doivent signaler les frais suspects via le formulaire prévu.
Qu’est-ce que le LLMJacking ?
C’est l’utilisation frauduleuse d’un modèle d’IA avec les identifiants d’une autre personne ou entreprise, qui reçoit la facture. Les clés volées peuvent aussi être revendues à des services d’accès bon marché.
Sources
- Incident report: October security incident — Railway (blog officiel), 2026-11-10
- Railway breach leads to $740,000 in fraudulent AI charges — BleepingComputer, 2026-11-10
- Black October for AI developer platforms — Wiz, 2026-11-10
- Railway's AI agents go off the track on a rival's network — CSO Online, 2026-11-06