Fireworks AI, das von Nvidia unterstützte Inferenz-Startup, hat Kunden darüber informiert, dass ein zuvor offengelegter Sicherheitsvorfall erheblich umfassender war als zunächst gemeldet, wobei Angreifer auf Konto- und Rechnungsinformationen und für eine begrenzte Anzahl von Konten auf Geheimnisse, Datensätze und unvollständige Modellgewichte zugegriffen haben, wie aus einem aktualisierten Sicherheitsbulletin hervorgeht, das am 9. November auf seiner Website veröffentlicht wurde. Bloomberg und Forbes meldeten die Offenlegung am Montag, wobei Forbes den Cyberangriff als Offenlegung von Kundendaten und KI-Modellen beschrieb.

Das Unternehmen gab den Vorfall erstmals am 9. Oktober bekannt, als es sagte, dass nur auf die von Fireworks gespeicherten Geheimnisse zugegriffen worden sei, die bei Evaluierungsaufträgen verwendet wurden. Das neue Update erweitert diese Einschätzung erheblich und bringt den Einbruch mit einer finanziell motivierten Cyberkriminellengruppe in Verbindung, die das verfolgt, was die Branche „LLMJacking“ nennt – den Zugriff auf große Sprachmodelle zu stehlen und die Token an illegale Routing-Gateways weiterzuverkaufen. Für Unternehmen, die [Sicherheitsnachrichten aus der KI-Branche] (https://aibuzzwire.news) verfolgen, entwickelt sich der Fall zu einem Referenzvorfall für eine neue Klasse von Angriffen auf die KI-Infrastruktur.

Wie sich der zweite Verstoß abspielte

Dem Bulletin zufolge kam es am 23. Oktober bei einem externen Cloud-Anbieter, der die Forschungs- und Entwicklungsmaschinen von Fireworks hostet, zu einem eigenen Sicherheitsvorfall. Am nächsten Tag nutzte ein Unbefugter diesen Zugang, um auf die Entwicklungsmaschinen von Fireworks zuzugreifen, und führte einen nicht autorisierten Workload aus, der zusätzliche Auswirkungen auf die Kundendaten hatte. Fireworks gab an, die Aktivität noch am selben Tag entdeckt und Abhilfemaßnahmen ergriffen zu haben. Bis zum 25. Oktober habe es keine weiteren Beweise für einen erfolgreichen unbefugten Zugriff auf die von Kunden genutzte Plattform gefunden.

Das Unternehmen arbeitet mit der Unit 42 von Palo Alto Networks zusammen, die forensische Analysen durchführt, und sagte, es habe die Strafverfolgungsbehörden nach dem ursprünglichen Vorfall benachrichtigt. Die Google Threat Intelligence Group und Mandiant veröffentlichten am 2. November einen Blogbeitrag, in dem sie den Aufstieg von LLMJacking, die dahinter stehenden Motive und die verwendeten Techniken dokumentierten – Kontext, den Fireworks in seiner eigenen Offenlegung zitierte.

Welche Daten wurden erfasst

Die betroffene interne Anwendung legte dem Bulletin zufolge mehrere Kategorien von Informationen offen:

– Ressourcenmetadaten, einschließlich Fireworks-Ressourcenkennungen, Anzeigenamen, Beschreibungen und Erstellungszeiten.

  • Rechnungsinformationen, einschließlich Rechnungs- und Lieferadressen, Rechnungs- und Zahlungsverlauf, Kontostände und Kreditverwendung.

  • Modellgewichte und Datensätze: Für bestimmte Kunden wurde auf eine Teilmenge unvollständiger Modellgewichte und Datensätze zugegriffen.

Fireworks sagte, Zahlungskartennummern seien nicht auf seinen Systemen gespeichert und seien nicht betroffen. Das Unternehmen gab außerdem an, keine Auswirkungen auf seine Kerndienste Inference, Training SDK und Nexus festgestellt zu haben, die standardmäßig ohne Datenaufbewahrung arbeiten – was bedeutet, dass keine Kundenschulungs- oder Inferenzdaten im Ruhezustand gespeichert werden. Das Unternehmen teilte mit, dass es Kunden, deren Daten betroffen seien, direkt mit Einzelheiten zu den Auswirkungen und empfohlenen Gegenmaßnahmen benachrichtige.

Eindämmung und offene Fragen

Als Teil seiner Reaktion in Zusammenarbeit mit Unit 42 hat Fireworks nach eigenen Angaben Anmeldeinformationen und Dienstkonten widerrufen und ersetzt, unnötig erhöhte Berechtigungen entfernt, Netzwerkpfade eingeschränkt und betroffene Systeme isoliert, den Zugriff auf Datenspeicher- und Analysesysteme verschärft sowie die Protokollierung und Überwachung verstärkt. Außerdem wurden Self-Service-Datensatz-Uploads und -Downloads, die von Batch Inference und datensatzbasiertem Training verwendet werden, während der laufenden Untersuchung deaktiviert.

Zwei wichtige Fragen bleiben offen. Erstens, wie viele der „unvollständigen Modellgewichte“, auf die zugegriffen wurde, tatsächlich nutzbar sind – teilweise oder in Bearbeitung befindliche Gewichte, die aus einer Trainingspipeline gestohlen wurden, können immer noch Wettbewerbsinformationen über in der Entwicklung befindliche Kundenmodelle preisgeben, und Fireworks hat nicht gesagt, welche Kunden oder wie viele davon betroffen waren. Zweitens, welche Pflichten sich für Kunden ergeben, deren proprietäre Datensätze offengelegt wurden. Das Unternehmen gibt an, dass seine Ermittlungen noch andauern und möglicherweise weitere Informationen preisgeben.

Warum LLMJacking wächst

LLMJacking-Angriffe zielen auf in der Cloud gehostete KI-Dienste ab, um nutzbaren Modellzugriff statt herkömmlicher Daten zu erlangen. Die gestohlenen Zugangsdaten oder Token werden dann über Shadow-Routing-Gateways weiterverkauft, die einen vergünstigten Zugang zu kommerziellen Modellen ermöglichen. Die Threat Intelligence Group von Google und Mandiant widmeten dem Trend am 2. November einen Bericht, den Sicherheitsforscher seit etwa zwei Jahren verfolgen, da die Einführung gehosteter Inferenz in Unternehmen explosionsartig zugenommen hat.

Die Fireworks-Enthüllung ist einer der ersten bestätigten Fälle, in denen Angreifer diesen Trick offenbar mit dem Diebstahl von Kundenmodellartefakten bei einem KI-Infrastrukturanbieter kombiniert haben. Es landet inmitten einer breiteren Welle von Sicherheitsvorfällen im gesamten KI-Ökosystem und erhöht den Druck auf Inferenzanbieter, nachzuweisen, dass mandantenfähige Plattformen die Arbeitslast der Kunden isolieren können. Startups, die Inferenzanbieter evaluieren, werden wahrscheinlich schwierigere Fragen zu Mandantenisolation, Anmeldeinformationshygiene und Cloud-Abhängigkeiten von Drittanbietern stellen – der genaue Weg, der hier ausgenutzt wird.

Fireworks gibt an, seine Systeme rund um die Uhr zu überwachen und im Verlauf der Untersuchung weitere Updates zu veröffentlichen. Kunden mit Bedenken werden gebeten, auf ihre Vorfallbenachrichtigungs-E-Mails zu antworten oder sich an die Adresse für Sicherheitshinweise des Unternehmens zu wenden.

Der Vorfall verdeutlicht auch, wie Offenlegungsnormen für KI-Unternehmen ausgereift sind. Fireworks veröffentlichte sein erstes Bulletin wenige Tage nach dem ersten Einbruch Anfang Oktober und änderte es dann zweimal, als die Forensik das Bild erweiterte – eine Abfolge, die Sicherheitsteams aus den jüngsten Verstößen gegen Unternehmenssoftware kennen, die aber bei KI-Infrastrukturanbietern, von denen viele noch nie einen öffentlichen Vorfall bearbeitet haben, nach wie vor ungewöhnlich ist. Die Entscheidung, Self-Service-Datensatzfunktionen zu deaktivieren und gleichzeitig das Kern-Inferenzprodukt laufen zu lassen, deutet darauf hin, dass sich die Gefährdung auf Nebensysteme und nicht auf den Kundenbetreuungspfad selbst konzentrierte.

---

Der KI einen Schritt voraus sein

Erhalten Sie die neuesten KI-Nachrichten, Analysen und Durchbrüche – alles an einem Ort.

Weitere KI-Neuigkeiten lesen →