Railway waarschuwt voor mogelijk lek: vervang API-sleutels van AI-apps

donderdag, 22 oktober 2026 om 7:46

Open paars hangslot met een lichtgevende digitale sleutel, omringd door kleurrijke netwerkverbindingen.

Cloudplatform Railway waarschuwde op dat een onbevoegde partij mogelijk geheime toegangsgegevens van klanten heeft ingezien. Het bedrijf vraagt alle gebruikers hun opgeslagen API-sleutels en andere toegangsgegevens te vervangen. Voor makers van AI-apps kan misbruik geld kosten: iemand met een gestolen sleutel kan op hun rekening AI-modellen gebruiken.

Railway is een platform waarop ontwikkelaars apps online zetten en laten draaien. Ook mensen die met vibecoding software bouwen, waarbij AI een groot deel van de code schrijft, kunnen zo hun projecten publiceren.

Wat is er bij Railway gebeurd?

Railway ontdekte volgens zijn officiële beveiligingsmelding afwijkende activiteit in systemen die omgevingsvariabelen van klanten opslaan. Dat zijn instellingen die een app tijdens het draaien gebruikt. Daarin staan vaak ook geheime gegevens, zoals een API-sleutel voor een AI-dienst of een databasewachtwoord.

Een onbevoegde partij heeft mogelijk toegang gekregen tot versleutelde omgevingsvariabelen. Volgens het voorlopige onderzoek heeft die partij van een deel mogelijk ook de leesbare inhoud bemachtigd.

Railway vermoedt dat het incident onderdeel is van een reeks aanvallen op platformbedrijven, gericht op toegang tot aanbieders die AI-modellen draaien. Het bedrijf heeft deze aanbieders gevraagd sleutels uit voorzorg in te trekken.

Hoeveel klanten daadwerkelijk zijn geraakt, is nog onbekend. Railway denkt op basis van de eerste analyse aan een deel van de gebruikers, maar adviseert iedereen voorzorgsmaatregelen te nemen. Het bedrijf wil getroffen klanten rechtstreeks mailen zodra duidelijk is welke accounts het betreft.

Reddit-gebruiker meldt onverwacht AI-verbruik

In een bericht op Reddit schrijft een gebruiker dat iemand anders via diens OpenRouter-sleutel AI-modellen heeft gebruikt. De gebruiker noemt Opus 5.5 en Fable en deelt een grafiek met een opvallende verbruikspiek op 21 oktober.

Uit de post en de afbeelding is niet vast te stellen hoe de sleutel is verkregen, hoeveel schade is ontstaan of dat het Railway-incident de oorzaak is.

Een API-sleutel werkt als een toegangsbewijs waarmee software een dienst kan gebruiken. Bij OpenRouter kan iemand met zo’n sleutel AI-verzoeken indienen die het tegoed van de eigenaar verbruiken. De eigenaar hoeft daarvoor niet zelf in te loggen of de verzoeken goed te keuren.

OpenRouter waarschuwt in zijn documentatie over API-sleutels dat een sleutel zonder bestedingslimiet het volledige saldo kan verbruiken, inclusief automatische opwaarderingen. Een onverwachte piek kan daardoor direct financiële gevolgen hebben.

Herstel is begonnen, maar nog niet voor iedereen

Railway pauzeerde aanvankelijk het uitrollen van alle nieuwe appversies. Daardoor konden klanten ook hun apps niet bijwerken met nieuwe toegangsgegevens.

Volgens de statuspagina van het incident hervatte Railway op 22 oktober eerst de uitrol voor Enterprise-klanten. Andere abonnementen moesten daarna in stappen volgen. In de update van 05.20 uur UTC meldde het bedrijf nog vertragingen bij het uitrollen.

Railway maakte daarnaast alle eigen API-tokens ongeldig. Die tokens geven toegang tot de programmeerinterface van Railway. Dit staat los van bijvoorbeeld een OpenRouter-sleutel die een klant in zijn app gebruikt.

Voor gebruikers ontstaat daarmee een praktisch probleem: een ingetrokken sleutel stopt mogelijk misbruik, maar een app die nog op die sleutel draait kan de gekoppelde dienst vervolgens niet meer bereiken. Herstel vraagt dus ook om een werkende uitrol met nieuwe gegevens.

Wat moeten gebruikers nu doen?

Railway heeft een aparte handleiding voor OpenRouter-gebruikers gepubliceerd. De belangrijkste stappen zijn:

Schakel een mogelijk gelekte sleutel direct uit bij de aanbieder. Alleen de waarde in Railway aanpassen maakt de oude sleutel niet ongeldig. Bij OpenRouter kun je de sleutel uitschakelen en de gebruikshistorie bewaren voor onderzoek.
Maak een nieuwe sleutel aan. Stel waar mogelijk een bestedingslimiet en vervaldatum in.
Werk de instellingen van je app bij. Zet de nieuwe sleutel in Railway en rol de wijziging uit zodra dat voor jouw abonnement mogelijk is. Controleer daarna of de koppeling weer werkt.
Controleer het verbruik en bewaar bewijs. Zoek naar onbekende modellen, onverwachte kosten en verzoeken die niet bij jouw app passen. Exporteer verdachte activiteit voordat je gegevens verwijdert en meld het bij de aanbieder.
Controleer ook andere opgeslagen toegangsgegevens. Het advies van Railway geldt eveneens voor databasewachtwoorden en inloggegevens voor besloten opslagplaatsen van software.

OpenRouter laat gebruikers in het Activity-overzicht filteren op onder meer model, API-sleutel en periode. Daarmee kun je nagaan of de extra kosten aansluiten bij wat je eigen app heeft gedaan. Alleen het inlogwachtwoord van je Railway-account veranderen vervangt deze afzonderlijke toegangssleutels niet.

Robin HeesterOprichter

Robin Heester is mede-oprichter van AI Wereld en heeft door de jaren heen meerdere websites, nieuwsbrieven en magazines opgericht. Hij schrijft over technologie, innovatie en de maatschappelijke impact van nieuwe digitale ontwikkelingen.