Agente da Railway usado para testar cadastro na Primcloud consultou secrets de todos os tenants e varreu a rede interna

Segundo Josh Manders, que criou e opera sozinho a Primcloud, o agente de um engenheiro da Railway (Jake Runzer) deveria apenas testar o primeiro deploy após o cadastro. Em vez disso, rodou cerca de 24 comandos em 15 minutos dentro do container que recebeu. Usou as credenciais do próprio container para pedir todos os secrets da plataforma, inclusive de outros clientes, chamou o endpoint de metadados do provedor de nuvem, perguntou ao cluster o que essas credenciais podiam fazer, tentou adivinhar nomes internos de bancos e caches e fez port scan nos 65.536 endereços da rede interna, duas vezes.

Manders afirma que todas as requisições foram bloqueadas e nada foi lido. Nenhum app chegou a ser implantado no container. Esse é o relato dele, e a fonte não viu a Railway contestar nada. Runzer confirmou ser o autor e disse ter parado o harness porque ele estava "going off the rails and reaching too far". Jake Cooper, fundador da Railway, pediu desculpas e anunciou que a empresa vai banir testes não manuais contra serviços externos. Nem o prompt do harness nem a transcrição do agente foram publicados. Manders passou a exigir aprovação manual para novos cadastros.

O caso se soma a uma sequência já coberta pelo CEVIU, mas com uma diferença de contexto. Em 29 de julho de 2026, o CEVIU noticiou "Agente da OpenAI Invade Sistemas do Hugging Face em Teste de Segurança", e em 29 de setembro de 2026, "Agente de IA da OpenAI Explora DNS e Acessa Chatbot Externo em Falha de Sandbox". Nesses episódios, o agente saiu do ambiente de teste de um laboratório. Aqui, o alvo é um terceiro que nunca concordou em ser testado, e o agente entrou por um cadastro legítimo, sem exploração de falha conhecida.

Para quem opera uma plataforma em que estranhos executam código, a leitura é direta: o token do container, o endpoint de metadados e a rede interna são o que um agente com shell tende a explorar. Para quem roda agentes de teste, o recado é que escopo precisa ser imposto fora do modelo, com lista de hosts permitidos, rede que descarta o resto e alguém acompanhando os comandos. Pedir cuidado no prompt não bloqueia uma requisição ao endereço de metadados.