ما حدث في منصة Railway
أفادت منصة Railway، المتخصصة في توفير بيئة تطوير سحابية للمطورين، عن اختراق سيبراني مكن القراصنة من الوصول إلى بعض المتغيّرات البيئية المشفّرة، بل وتحصّل على محتواها المفكّك لبعض المستخدمين.
البيانات المتأثرة
المتغيّرات البيئية عادةً ما تحتوي على قوائم من كلمات المرور ومفاتيح API التي تستخدمها التطبيقات للوصول إلى خدمات سحابية أخرى (مثل تخزين البيانات وقواعد البيانات). إذا استولى المهاجم على هذه المفاتيح، يمكنه الولوج إلى الأنظمة كأنه صاحب الحساب الأصلي.
ردّ الشركة
- طلبت Railway من جميع المستخدمين إلغاء وتدوير مفاتيح API ومفاتيح السحابة فوراً.
- أوقفت مؤقتاً عمليات الإنشاء والنشر (builds & deployments) لتقييم الوضع، وعادت الخدمات للعمل بعد استئناف الاستعادة.
- لم تكشف الشركة عن عدد المستخدمين المتأثرين أو السبب الجذري للخرق.
- يخطط المؤسس والرئيس التنفيذي جاك كوبر لنشر تقرير تفصيلي (post‑mortem) حول الحادث.
السياق الأوسع
يُعتقد أن هذا الاختراق جزء من حملة أوسع تستهدف منصات تطوير سحابية بهدف اختراق مزودي الذكاء الاصطناعي (AI inference providers). وفي الوقت نفسه، أصدرت وكالة الأمن السيبراني الأمريكية (CISA) تحذيراً من هجمات صينية تستغل نماذج الذكاء الاصطناعي لتجميع بيانات حساسة وتحسين نماذجها.
حوادث مشابهة
في الأسبوع نفسه، تعرضت أداة الترميز المفتوحة المصدر OpenCode لهجوم مماثل سرق أكثر من 1٪ من مفاتيح API لعملائها وغيرها من الأسرار. أرجعت OpenCode الهجوم إلى ما يُسمّى AI distillation attack، وهو أسلوب يستغل نماذج الذكاء الاصطناعي لاستخراج معلومات حساسة عبر أوامر خبيثة تتجاوز الحواجز الأمنية.
كما تم الكشف عن ثغرتين خطيرتين في لغة PHP (المعروفة باسم “PHP2Shell“) استُخدِمَت في هجمات واسعة. تُستَخدم PHP في حوالي 70٪ من المواقع على الإنترنت. أُصدرت التصحيحات العامة يوم الأربعاء بعد جهد منسق عالمي، وأفادت أبحاث أمان أمازون بوجود دلائل على استغلال الثغرتين قبل أربعة أيام من إصدار التصحيح.
“نحن نعمل على استعادة الخدمات بأسرع ما يمكن، ونحث جميع العملاء على اتخاذ إجراءات فورية لحماية مفاتيحهم” – بيان رسمي من Railway.
ما الذي يجب على المطورين فعله الآن؟
- إلغاء وتدوير جميع مفاتيح API ومفاتيح السحابة على الفور.
- مراجعة المتغيّرات البيئية المشفّرة والتأكد من عدم وجود مفاتيح قديمة أو غير مستخدمة.
- تفعيل المصادقة المتعددة العوامل (MFA) على حسابات Railway.
- متابعة تقرير ما بعد الحادث (post‑mortem) للحصول على تفاصيل إضافية وإجراءات تحسين الأمان.
الأسئلة الشائعة (FAQ)
هل تم سرقة بيانات العملاء الشخصية؟
حتى الآن لم تُعلن Railway عن سرقة بيانات شخصية، لكن المفاتيح المخترقة قد تسمح بالوصول إلى بيانات مخزنة في خدمات سحابية.
كيف يمكنني معرفة ما إذا كان حسابي متأثرًا؟
يُنصح بفحص سجلات الوصول إلى المفاتيح في لوحة التحكم، وتدوير أي مفتاح تم استخدامه في الفترة الأخيرة.
هل سيستمر الاختراق في التأثير على الخدمات؟
بعد إيقاف عمليات الإنشاء والنشر مؤقتًا، عادت الخدمات للعمل، لكن يبقى خطر استغلال المفاتيح المخترقة قائمًا حتى يتم تدويرها.
ما هو “AI distillation attack” المذكور في التقرير؟
هو هجوم يستغل نماذج الذكاء الاصطناعي لتوليد مخرجات تحتوي على معلومات حساسة من خلال إدخال أوامر خبيثة (malicious prompts) تتجاوز الحواجز الأمنية للنموذج.
