Yazılım geliştirme platformu Railway, müşterilerine ait yapay zekâ erişim anahtarlarının ele geçirilmesinin ardından yaklaşık 740 bin dolarlık izinsiz kullanım ücreti oluştuğunu bildirdi. Şirket, uygulamaları müşterileri için barındırıp çalıştırdığını ve bu süreçte API anahtarları ile veritabanı kimlik bilgileri gibi gizli verileri sakladığını belirtti.
Müşteri gizleri hedef oldu
Olay, barındırılan uygulamalara ve onlarla bağlantılı gizli bilgilere erişim sağlanabildiğini ortaya koydu. Railway’in tuttuğu veriler arasında yalnızca yapay zekâ servis anahtarları değil, uygulamaların çalışması için kullanılan başka hassas bilgiler de yer alıyor. Ele geçirilen anahtarların kötüye kullanılması, şirketin hesaplarında beklenmedik ve yüksek maliyetli API tüketimi yarattı.
740 bin dolarlık fatura nasıl oluştu
Şirketin açıkladığı tahmini tutar, yetkisiz kullanımın ne kadar hızlı büyüdüğünü gösterdi. Railway, bu harcamanın müşteri anahtarlarının saldırganların eline geçmesiyle bağlantılı olduğunu aktardı. Olayın nasıl gerçekleştiğine ilişkin teknik ayrıntılar sınırlı tutulsa da, saldırının sonucu doğrudan bulut tabanlı hizmet kullanım faturalarına yansıdı.
Platformların sakladığı sırlar yeniden gündemde
Railway’in iş modelinde müşteriler için uygulama çalıştırma ve bu uygulamalara ait gizli bilgileri saklama işlevi öne çıkıyor. Bu yapı, API anahtarları ve veritabanı bilgileri gibi verileri tek bir yerde topladığı için, erişim kontrolü zayıfladığında maliyetli sonuçlar doğurabiliyor. Şirketin paylaştığı rakam da, bir gizli anahtarın yalnızca veri sızıntısına değil, doğrudan faturalandırma yüküne de dönüşebildiğini gösterdi.