Kunci AI Curian di Railway Picu Tagihan Rp12 Miliar, Siapa Menanggung?

Penyedia platform-as-a-service Railway menyatakan kunci API layanan AI milik pelanggan yang tersimpan di platformnya dicuri dalam insiden Oktober dan dipakai untuk belanja tak sah senilai estimasi US$740.000, atau sekitar Rp12 miliar. Railway berjanji menanggung tagihan itu sendiri bila penyedia AI menolak mengembalikan dana.

Perusahaan yang membangun dan menjalankan aplikasi untuk pelanggannya itu menyimpan rahasia seperti kunci API dan kredensial basis data sebagai environment variable. Menurut laporan insidennya, penyerang berhasil mendekripsi variabel di paling banyak 1,85% workspace, sekitar 100.000 unit, dan kueri basis data mereka secara khusus mencari kunci penyedia AI.

Kronologi Serangan: dari Build System hingga Dekripsi Kunci

Serangan bermula di sistem build perusahaan. Pada 20 Oktober pukul 07.28 UTC, penyerang memanfaatkan celah yang belum diketahui untuk sebagian keluar dari isolasi filesystem di sekitar proses build dan membaca sejumlah berkas di virtual machine host.

Dari situ penyerang memperoleh kredensial yang dipakai server build untuk mendorong image jadi dan menjangkau sejumlah sistem internal. Insinyur yang sedang bertugas (on-call) baru dipanggil pukul 13.58 UTC, sekitar enam setengah jam setelah eksploitasi pertama, ketika sebuah peringatan menandai panggilan tak biasa ke layanan registry.

Kredensial itu seharusnya hanya untuk keperluan build. Namun sistem Temporal internal perusahaan, yang menggerakkan sebagian proses build, menerimanya sebagai klien tepercaya. Lewat jalur itu penyerang membaca sebagian riwayat build lain yang tersimpan, termasuk variabel dan rahasia yang diteruskan ke 353 build.

Kredensial yang sama juga bisa mengambil snapshot kode yang di-cache. Penyerang pun mendapatkan salinan monorepo internal perusahaan, basis kode yang menjadi sumber deploy banyak layanannya. Menurut perusahaan, salinan itu memperlihatkan cara kerja platform dan membantu penyerang menemukan celah serta bergerak cepat antar-sistem.

Setelah memindai kode tersebut, penyerang menemukan konfigurasi OIDC yang salah dalam salah satu lingkungan cloud perusahaan. Pada 21 Oktober pukul 03.26 UTC, kesalahan itu dieksploitasi untuk mendapatkan kredensial cloud berumur pendek. Dengan kredensial itu, penyerang mengambil dua kredensial lain: satu yang bisa membaca variabel terenkripsi dari basis data produksi bila dipakai di dalam jaringan internal, dan satu kunci SSH.

Kunci SSH membuka mesin yang menjalankan tugas orkestrasi untuk armada perusahaan. Mesin itu menyimpan kredensial yang mampu mendekripsi variabel pelanggan karena dibutuhkan untuk menjalankan beban kerja pelanggan. Antara pukul 04.07 dan 05.21 UTC pada 21 Oktober, penyerang menarik variabel terenkripsi dari basis data sambil mencari nama yang cocok dengan kunci penyedia AI. Dekripsi berlangsung pukul 04.42–05.14 UTC dan lagi pukul 06.36–07.15 UTC. Penyerang sepenuhnya dikeluarkan dari sistem pada 09.24 UTC hari itu.

Waktu-waktu tersebut berbeda dari laporan awal perusahaan pada 22 Oktober, yang menyebut serangan dimulai pukul 13.58 UTC pada 20 Oktober dan menempatkan dekripsi setelah 05.27 UTC.

Pihak yang Terlibat dan Pernyataan Resmi Railway

Dalam pembaruan 26 Oktober, perusahaan menyampaikan kepada pelanggan yang menanyakan pengembalian dana atas belanja AI tak sah bahwa "Railway is unable to refund customers for spend performed with compromised API keys." Perusahaan mendorong pelanggan menghubungi penyedia AI secara langsung dan menawarkan mengeskalasi permintaan mereka.

Namun dalam laporan insidennya, Railway menyatakan akan menanggung sendiri biaya dari kunci Anthropic dan OpenRouter yang bocor. Untuk Anthropic, negosiasi masih berjalan. Untuk OpenRouter, yang mempertahankan kebijakan tanpa pengembalian dana dalam ketentuan layanannya, platform menanggung seluruh biaya terkait breach.

Selain kunci AI, data yang didekripsi mencakup token akun tertaut milik 1.852 pengguna: kunci agen BYOK dan token OAuth GitHub. Semuanya telah direset, setiap pengguna diberi notifikasi, dan tidak ditemukan login ke akun pelanggan menggunakan kredensial curian.

Satu kueri basis data penyerang juga mencocokkan kredensial layanan cloud, basis data, dan pembayaran. Forensik perusahaan tidak menunjukkan adanya basis data pelanggan yang diakses, dan tidak ada indikasi repositori kode pelanggan diunduh.

Karena log perusahaan hanya menunjukkan lingkungan mana yang terekspos, bukan variabel mana, angka sekitar 100.000 workspace adalah batas atas. Perusahaan mengirim email kepada pelanggan yang dinilai berisiko tinggi. Data yang disalin tetapi tidak didekripsi tidak lagi bisa didekripsi karena kredensial yang dipakai penyerang sudah dinonaktifkan.

Kebijakan Pengembalian Dana Berbeda di Tiap Penyedia AI

Ketentuan refund tidak seragam. Berikut ringkasan yang tercantum dalam laporan insiden Railway:

• AWS Bedrock: kebijakan pengembalian dana AWS mencakup fraud, dan tim akun AWS sudah mulai memproses refund.
• Google Gemini: kebijakan Google mencakup fraud, dan tim akun Google sudah memulai pengembalian dana.
• OpenAI: refund ditinjau kasus per kasus. Pelanggan mengajukan klaim ke OpenAI, lalu menyerahkan case ID ke tim dukungan Railway.
• SpaceXSI: refund ditinjau kasus per kasus, klaim diajukan ke tim dukungan yang sama.
• Anthropic: pembicaraan masih berlangsung, dan platform menanggung biaya dari kunci Anthropic yang bocor untuk sementara waktu.
• OpenRouter: tetap pada kebijakan tanpa refund sesuai ketentuan layanan, sehingga platform menanggung seluruh biaya terkait breach.

Pelanggan diminta melaporkan tagihan yang tidak mereka buat melalui formulir charge report. Formulir itu menyatakan perusahaan "is not responsible for usage of these keys" tetapi sedang menyelidiki pencurian dan bekerja sama dengan para penyedia.

Laporan tersebut tidak menjelaskan bagaimana angka US$740.000 diestimasi atau periode apa yang dicakupnya. Laporan maupun formulir tidak menetapkan batas atas atau tenggat klaim, juga tidak menyatakan apakah pelanggan harus membayar tagihan yang disengketakan selama klaim ditinjau.

Dampak dan Langkah Pengamanan bagi Pelanggan Railway

Perusahaan menyarankan pelanggan mencabut dan mengganti variabel sensitif apa pun yang tersimpan di platform sebelum 21 Oktober. Kunci harus dicabut atau dirotasi di penyedia yang menerbitkannya, karena mengisi charge report tidak otomatis mencabut kunci.

Saran lain: menutup akses jaringan publik ke basis data, memeriksa audit log GitHub dan aplikasi mana yang bisa mengakses akun, serta memeriksa audit log di registry seperti Docker Hub. Sebagian besar saran ini berasal dari pengungkapan Oktober dan laporan sehari setelahnya.

Sebagai langkah kehati-hatian, perusahaan juga menyerahkan setiap kunci yang dipegangnya untuk layanan penyedia tertentu, sehingga permintaan reset menjangkau lebih dari 100.000 pengguna. Notifikasi pencabutan dari penyedia tidak dengan sendirinya berarti sebuah kunci terekspos.

Dari sisi perbaikan, setiap build kini berjalan di virtual machine berumur pendek tersendiri di atas isolasi lama, dan kredensialnya hanya bisa mendorong satu image spesifik ke registry perusahaan. Dalam waktu satu jam setelah celah awal ditambal, tim hardening internal perusahaan membangun eksploit kedua dengan memodifikasi serangan tersebut. Itu salah satu alasan seluruh pengguna dipindahkan ke sistem build baru sekaligus.

Railway menyatakan semua kelemahan yang dipakai penyerang kini ditutup. Perusahaan telah mengajukan keluhan ke IC3 FBI dan bekerja sama dengan firma forensik spesialis yang investigasinya masih berjalan. Indikator kompromi dibagikan secara privat untuk sementara dan akan dipublikasikan setelah aparat penegak hukum menyetujuinya.

Perusahaan menduga kredensial curian dipakai oleh layanan yang meneruskan atau menjual kembali akses ke penyedia AI untuk keperluan distillation. Railway belum memastikan apakah penyerang menjalankan layanan tersebut, dan belum menyebut identitas penyerang. Peneliti Wiz dalam analisis "Black October" mencantumkan breach ini di antara insiden yang diungkap pada Oktober oleh sedikitnya sembilan platform pengembang AI, termasuk breach OpenCode sebelumnya. Setiap laporan publik menggambarkan penyerang berburu environment variable tersimpan, terutama yang memberi akses AI, tanpa satu pun celah atau dependensi perangkat lunak yang menghubungkan serangan-serangan itu.

Analisis Redaksi: Beban Tagihan yang Dilempar ke Pelanggan

Ada kontradiksi yang sulit diabaikan dalam penanganan kasus ini. Di satu sisi Railway menyatakan tidak dapat mengembalikan dana belanja yang dilakukan dengan kunci API yang dikompromikan. Di sisi lain, perusahaan menyiapkan dana untuk menanggung biaya dari kunci Anthropic dan OpenRouter. Perbedaan perlakuan itu bergantung pada kebijakan pihak ketiga, bukan pada tingkat kesalahan pelanggan. Pelanggan yang memakai OpenAI atau SpaceXSI harus mengurus klaim sendiri, sementara pengguna OpenRouter cukup diam karena platform menanggung semuanya.

Yang lebih mengganggu adalah absennya angka yang bisa dipegang. Laporan insiden tidak menjelaskan metodologi estimasi US$740.000, tidak menyebut periode, tidak menetapkan batas klaim, dan tidak memastikan apakah pelanggan wajib membayar tagihan sengketa selama klaim berjalan. Bagi startup yang bergantung pada kredit AI, ketidakpastian itu sama meresahkannya dengan pencuriannya sendiri. Estimasi 100.000 workspace pun diakui sebagai batas atas karena log tidak mencatat variabel mana yang terekspos.

Kronologi menunjukkan kegagalan berlapis, bukan satu titik lemah tunggal. Kredensial build diterima sistem Temporal sebagai klien tepercaya, monorepo internal bisa disalin lewat cache, dan konfigurasi OIDC salah di lingkungan cloud. Butuh enam setengah jam sebelum insinyur dipanggil. Deteksi yang lebih cepat mungkin membatasi jumlah kunci yang sempat didekripsi. Kasus ini juga memperlihatkan pola yang sama di sedikitnya sembilan platform pengembang AI pada Oktober: penyerang tidak membobol model, mereka memburu environment variable yang menyimpan akses. Selama rahasia pelanggan disimpan terpusat dan dipakai ulang antar-layanan, insiden serupa akan terus berulang.

Sumber: thehackernews.com, anthropic.com