Railway mühendisi, rakip bulut platformu Primcloud'da AI agent çalıştırdığını kabul etti; agent'lar başka müşterilerin secret'larını istemiş
Primcloud kurucusu, bir Railway mühendisinin çalıştırdığı AI agent'ların platformda başka müşterilere ait secret'ları istediğini, metadata endpoint'ine ulaşmaya çalıştığını ve iç ağı taradığını açıkladı. Mühendis agent'ları çalıştırdığını kabul etti; Railway CEO'su bunun iş saatleri dışında yürütülen kişisel bir araç olduğunu söylüyor. Primcloud, girişimlerin engellendiğini ve müşteri verisine erişilmediğini bildirdi.
Bulut uygulama platformu Railway'de çalışan kıdemli bir ürün mühendisi, rakip platform Primcloud üzerinde AI agent'lar çalıştırdığını kabul etti. Hackread'in aktardığına göre Primcloud'un kurucusu 3 Kasım'da Railway'e açıkça seslendi ve agent'ların platformda kimlik bilgisi toplamaya ve iç ağı haritalamaya çalıştığını öne sürdü. Primcloud'a göre güvenlik kontrolleri bu girişimleri engelledi ve hiçbir müşteri verisine erişilmedi.
Mühendis, agent'ları "benzer platformlarda kayıt ve otomatik test" amacıyla çalıştırdığını söyledi. Kötü niyeti reddetti ve aracın fazla ileri gittiğini fark edince durdurduğunu belirtti.
Primcloud'un anlattıkları
Primcloud kurucusunun açıklamasına göre agent'lar, uygulama container'ı içindeki kimlik bilgilerini kullanarak platformdan secret istedi; bunlar arasında başka müşterilere ait secret'lar da vardı. Agent'lar ayrıca bulut sağlayıcısının metadata endpoint'ine ulaşmaya çalıştı, container kimlik bilgilerinin hangi kaynaklara erişebildiğini denetledi ve iç isimleri tahmin ederek veritabanı ile cache servisleri aradı.
Kurucu, yaklaşık 15 dakikada 24 civarında komut çalıştırıldığını ve bunların arasında 65.536 iç ağ adresini kapsayan iki tarama olduğunu söylüyor. Bu sayı taranan adres aralığıdır; canlı sunucu ya da açık servis sayısı değildir. Hackread de teknik ayrıntıların Primcloud'un anlatımı olduğunu, mühendisin kabulünün her komutu tek tek doğrulamadığını vurguluyor.
Railway'in açıklaması
Railway'in kurucu ortağı ve CEO'su önce özür diledi. Daha sonraki açıklamasında aracın, çalışanın iş saatleri dışında kişisel olarak geliştirdiği ve bug bounty programlarına açık bildirmek için kullandığı bir araç olduğunu söyledi. CEO'ya göre çalışan kişisel hesap, kişisel kredi kartı ve DeepSeek çalıştıran barındırılan bir servis aboneliği kullandı. Araç yalnızca bir dış sağlayıcıya karşı bir kez çalıştı ve 15 dakika içinde durduruldu. Railway bu davranışı onaylamadığını ve çalışanla ilgili iç işlem yaptığını açıkladı; işlemin ne olduğunu söylemedi. Primcloud'un bu testi onayladığına dair bir bilgi yok.
Olay, Railway'in kendi güvenlik olayının hemen ardından geldi. Şirket 21 Ekim'de, yetkisiz bir tarafın şifreli müşteri ortam değişkenlerine erişmiş ve bir kısmını çözmüş olabileceğini duyurmuştu.
Neden önemli?
Hackread'e görüş veren güvenlik yöneticileri aynı noktaya dikkat çekiyor: Savunan taraf agent'ın niyetini göremez, yalnızca davranışını görür. İç ortamda kimlik bilgisi toplayan ve ağı haritalayan bir yazılım, "test" amaçlı olsa bile saldırı gibi görünür. Agent'ı çalıştıran kişi ya da kurum, adım adım yönetmese bile o agent'ın eylemlerinden sorumlu kalır.
Ne yapılmalı?
- Çok kiracılı (multi-tenant) platformlarda container'a verilen kimlik bilgilerinin yalnızca kendi kiracısının secret'larına erişebildiğini doğrulayın.
- Container'lardan bulut metadata endpoint'ine erişimi kısıtlayın; erişim gerekiyorsa oturum tabanlı korumalı sürümü kullanın.
- Normal iş akışlarının hiç dokunmayacağı sahte kimlik bilgileri ve sahte iç kaynaklar (deception) yerleştirin; bunlara yapılan her istek, insan ya da agent fark etmeksizin alarm üretsin.
- Kurumunuzda AI agent kullanan ekipler için hangi hedeflere, hangi yetkiyle ve kimin onayıyla test yapılabileceğini yazılı hale getirin; üçüncü taraf sistemlere yetkisiz test yapılmamalı.
- Railway müşterileri, 21 Ekim öncesinde saklanan secret'ları henüz yenilemediyse rotasyonu tamamlamalı.
