Fireworks AI, la startup de inferencia respaldada por Nvidia, ha notificado a los clientes que un incidente de seguridad previamente divulgado fue significativamente más amplio de lo que se informó inicialmente, con atacantes accediendo a información de cuentas y facturación y, para un conjunto limitado de cuentas, secretos, conjuntos de datos y pesos de modelos incompletos, según un boletín de seguridad actualizado publicado en su sitio el 9 de noviembre. Bloomberg y Forbes informaron la divulgación el lunes, y Forbes describió el ciberataque como una exposición de datos de clientes y modelos de IA.
La compañía reveló el incidente por primera vez el 9 de octubre, cuando dijo que sólo se había accedido a los secretos almacenados en Fireworks utilizados en trabajos de evaluación. La nueva actualización amplía sustancialmente esa evaluación y vincula la intrusión a un grupo cibercriminal motivado financieramente que persigue lo que la industria llama "LLMJacking": robar acceso a grandes modelos de lenguaje y revender los tokens a puertas de enlace de enrutamiento ilícito. Para las empresas que siguen las noticias sobre seguridad de la industria de la IA, el caso se perfila como un incidente de referencia para una nueva clase de ataques a la infraestructura de la IA.
Cómo se desarrolló la segunda infracción
Según el boletín, un proveedor de nube externo que aloja las máquinas de investigación y desarrollo de Fireworks experimentó su propio incidente de seguridad el 23 de octubre. Al día siguiente, una parte no autorizada utilizó ese punto de apoyo para llegar a las máquinas de desarrollo de Fireworks y ejecutó una carga de trabajo no autorizada que generó un impacto adicional en los datos del cliente. Fireworks dice que detectó la actividad el mismo día y tomó medidas correctivas, y que hasta el 25 de octubre no encontró más evidencia de acceso no autorizado exitoso en la plataforma que usan los clientes.
La compañía está trabajando con la Unidad 42 de Palo Alto Networks, que está realizando análisis forenses, y dijo que notificó a la policía después del incidente original. Google Threat Intelligence Group y Mandiant publicaron una publicación de blog el 2 de noviembre que documenta el surgimiento de LLMJacking, los motivos detrás de él y las técnicas utilizadas: contexto que Fireworks citó en su propia divulgación.
¿Qué datos se tomaron?
La aplicación interna afectada expuso varias categorías de información, según el boletín:
- Metadatos de recursos, incluidos identificadores de recursos de Fireworks, nombres para mostrar, descripciones y horas de creación.
- Información de facturación, incluidas direcciones de facturación y envío, historial de pagos y facturas, saldos de cuentas y uso de crédito.
- Ponderaciones de modelos y conjuntos de datos: para ciertos clientes, se accedió a un subconjunto de ponderaciones de modelos y conjuntos de datos incompletos.
Fireworks dijo que los números de tarjetas de pago no se almacenan en sus sistemas y no se vieron afectados. También afirmó que no ha detectado ningún impacto en sus servicios principales de Inferencia, Training SDK y Nexus, que operan sin retención de datos de forma predeterminada, lo que significa que no se almacenan datos de inferencia o capacitación del cliente en reposo. La compañía dijo que está notificando directamente a los clientes cuyos datos se vieron afectados con detalles sobre el impacto y acciones de respuesta recomendadas.
Contención y Preguntas Abiertas
Como parte de su respuesta, trabajando con la Unidad 42, Fireworks dice que revocó y reemplazó credenciales y cuentas de servicio, eliminó privilegios elevados innecesarios, restringió vías de red y aisló los sistemas afectados, reforzó el acceso a los sistemas de análisis y almacenamiento de datos y fortaleció el registro y el monitoreo. También deshabilitó las cargas y descargas de conjuntos de datos de autoservicio utilizadas por Batch Inference y la capacitación basada en conjuntos de datos mientras continúa la investigación.
Quedan abiertas dos cuestiones importantes. En primer lugar, qué cantidad de los "pesos de modelo incompletos" a los que se accede son realmente utilizables: los pesos parciales o en progreso robados de un proceso de capacitación aún pueden revelar información competitiva sobre los modelos de clientes en desarrollo, y Fireworks no ha dicho qué clientes o cuántos se vieron afectados. En segundo lugar, qué obligaciones siguen para los clientes cuyos conjuntos de datos propietarios quedaron expuestos. La compañía dice que su investigación está en curso y puede revelar información adicional.
Por qué LLMJacking está creciendo
Los ataques LLMJacking se dirigen a servicios de inteligencia artificial alojados en la nube para obtener acceso a modelos utilizables en lugar de datos tradicionales. Las credenciales o tokens robados luego se revenden a través de puertas de enlace de enrutamiento en la sombra que ofrecen acceso a precios reducidos a modelos comerciales. Threat Intelligence Group de Google y Mandiant dedicaron un informe del 2 de noviembre a esta tendencia, que los investigadores de seguridad han seguido durante aproximadamente dos años a medida que la adopción empresarial de la inferencia alojada se ha disparado.
La divulgación de Fireworks es uno de los primeros casos confirmados en los que los atacantes parecen haber combinado ese manual con el robo de artefactos del modelo de cliente en un proveedor de infraestructura de inteligencia artificial. Aterriza en medio de una ola más amplia de incidentes de seguridad en todo el ecosistema de IA y agrega presión a los proveedores de inferencias para que demuestren que las plataformas multiinquilino pueden aislar las cargas de trabajo de los clientes. Es probable que las empresas emergentes que evalúan proveedores de inferencia hagan preguntas más difíciles sobre el aislamiento de los inquilinos, la higiene de las credenciales y las dependencias de la nube de terceros: el camino exacto que se explota aquí.
Fireworks dice que está monitoreando sus sistemas las 24 horas del día y publicará más actualizaciones a medida que avance la investigación. Los clientes que tengan inquietudes deben responder a sus correos electrónicos de notificación de incidentes o comunicarse con la dirección de aviso de seguridad de la empresa.
El incidente también ilustra cómo las normas de divulgación están madurando para las empresas de IA. Fireworks publicó su primer boletín a los pocos días de la intrusión inicial a principios de octubre, luego lo modificó dos veces cuando los análisis forenses ampliaron el panorama: una secuencia que los equipos de seguridad reconocerán por las recientes violaciones de software empresarial, pero que sigue siendo poco común entre los proveedores de infraestructura de IA, muchos de los cuales nunca han manejado un incidente público. La elección de desactivar las funciones del conjunto de datos de autoservicio y dejar en funcionamiento el producto de inferencia principal sugiere que la exposición se concentró en los sistemas auxiliares en lugar de en la ruta de servicio al cliente en sí.
---
Manténgase a la vanguardia de la IAObtenga las últimas noticias, análisis y avances en IA, todo en un solo lugar.
Leer más noticias sobre IA →
