Fireworks AI, la startup d'inférence soutenue par Nvidia, a informé ses clients qu'un incident de sécurité précédemment divulgué était beaucoup plus large que ce qui avait été signalé initialement, les attaquants accédant aux informations de compte et de facturation et, pour un ensemble limité de comptes, de secrets, d'ensembles de données et de pondérations de modèles incomplètes, selon un bulletin de sécurité mis à jour publié sur son site le 9 novembre. Bloomberg et Forbes ont rapporté la divulgation lundi, Forbes décrivant la cyberattaque comme exposant les données des clients et les modèles d'IA.

La société a révélé l'incident pour la première fois le 9 octobre, lorsqu'elle a déclaré que seuls les secrets stockés dans Fireworks et utilisés dans les travaux d'évaluation avaient été consultés. La nouvelle mise à jour élargit considérablement cette évaluation et associe l'intrusion à un groupe de cybercriminels motivés par l'argent poursuivant ce que l'industrie appelle le « LLMJacking » : voler l'accès à de grands modèles de langage et revendre les jetons à des passerelles de routage illicites. Pour les entreprises qui suivent l’actualité de la sécurité de l’IA (https://aibuzzwire.news), cette affaire s’annonce comme un incident de référence pour une nouvelle classe d’attaques contre l’infrastructure de l’IA.

Comment la deuxième violation s'est déroulée

Selon le bulletin, un fournisseur de cloud tiers hébergeant les machines de recherche et de développement de Fireworks a connu son propre incident de sécurité le 23 octobre. Le lendemain, une partie non autorisée a utilisé ce point d'accès pour atteindre les machines de développement de Fireworks et a exécuté une charge de travail non autorisée qui a entraîné un impact supplémentaire sur les données des clients. Fireworks affirme avoir détecté l'activité le même jour et pris des mesures correctives, et qu'au 25 octobre, elle n'a trouvé aucune autre preuve d'accès non autorisé réussi sur la plate-forme utilisée par les clients.

La société travaille avec l'unité 42 de Palo Alto Networks, qui effectue des analyses médico-légales, et a déclaré avoir informé les forces de l'ordre après l'incident initial. Google Threat Intelligence Group et Mandiant ont publié un article de blog le 2 novembre documentant la montée du LLMJacking, les motivations qui le sous-tendent et les techniques utilisées – contexte Fireworks cité dans sa propre divulgation.

Quelles données ont été prises

L'application interne concernée a exposé plusieurs catégories d'informations, selon le bulletin :

  • Métadonnées des ressources, y compris les identifiants des ressources Fireworks, les noms d'affichage, les descriptions et les heures de création.
  • Informations de facturation, y compris les adresses de facturation et d'expédition, l'historique des factures et des paiements, les soldes des comptes et l'utilisation du crédit.
  • Poids et ensembles de données du modèle : pour certains clients, un sous-ensemble de poids et d'ensembles de données de modèle incomplets a été consulté.

Fireworks a déclaré que les numéros de carte de paiement ne sont pas stockés sur ses systèmes et n'ont pas été affectés. Il a également déclaré n'avoir détecté aucun impact sur ses services principaux d'inférence, de SDK de formation et Nexus, qui fonctionnent par défaut avec une conservation de données nulle, ce qui signifie qu'aucune donnée de formation ou d'inférence client n'est stockée au repos. La société a déclaré qu'elle informait directement les clients dont les données ont été affectées avec des détails sur l'impact et les actions de réponse recommandées.

Confinement et questions ouvertes

Dans le cadre de sa réponse, en collaboration avec l'unité 42, Fireworks affirme avoir révoqué et remplacé les informations d'identification et les comptes de service, supprimé les privilèges élevés inutiles, restreint les voies réseau et isolé les systèmes concernés, renforcé l'accès aux systèmes de stockage et d'analyse des données, et renforcé la journalisation et la surveillance. Il a également désactivé les téléchargements d’ensembles de données en libre-service utilisés par l’inférence par lots et la formation basée sur les ensembles de données pendant que l’enquête se poursuit.

Deux questions importantes restent ouvertes. Premièrement, quelle part des « pondérations de modèles incomplets » consultées sont réellement utilisables ? Les pondérations partielles ou en cours volées dans un pipeline de formation peuvent toujours révéler des informations concurrentielles sur les modèles clients en cours de développement, et Fireworks n'a pas précisé quels clients ni combien ont été concernés. Deuxièmement, quelles obligations s’ensuivent pour les clients dont les ensembles de données propriétaires ont été exposés. L'entreprise affirme que son enquête est en cours et pourrait révéler des informations supplémentaires.

Pourquoi LLMJacking se développe

Les attaques LLMJacking ciblent les services d'IA hébergés dans le cloud pour récolter un accès aux modèles utilisables plutôt que les données traditionnelles. Les identifiants ou jetons volés sont ensuite revendus via des passerelles de routage fantôme qui offrent un accès à prix réduit aux modèles commerciaux. Le Threat Intelligence Group de Google et Mandiant ont consacré un rapport du 2 novembre à cette tendance, que les chercheurs en sécurité suivent depuis environ deux ans alors que l'adoption par les entreprises de l'inférence hébergée a explosé.

La divulgation de Fireworks est l'un des premiers cas confirmés où des attaquants semblent avoir combiné ce manuel avec le vol d'artefacts de modèle client chez un fournisseur d'infrastructure d'IA. Cela se produit au milieu d’une vague plus large d’incidents de sécurité dans l’écosystème de l’IA et ajoute une pression sur les fournisseurs d’inférence pour démontrer que les plates-formes multi-tenants peuvent isoler les charges de travail des clients. Les startups évaluant les fournisseurs d’inférence sont susceptibles de poser des questions plus difficiles sur l’isolement des locataires, l’hygiène des informations d’identification et les dépendances au cloud tiers – la voie exacte exploitée ici.

Fireworks affirme surveiller ses systèmes 24 heures sur 24 et publiera de nouvelles mises à jour au fur et à mesure que l'enquête progressera. Les clients ayant des inquiétudes sont invités à répondre à leurs e-mails de notification d'incident ou à contacter l'adresse d'avis de sécurité de l'entreprise.

L’incident illustre également à quel point les normes de divulgation évoluent pour les entreprises d’IA. Fireworks a publié son premier bulletin quelques jours après l'intrusion initiale début octobre, puis l'a modifié à deux reprises à mesure que les experts médico-légaux élargissaient le tableau – une séquence que les équipes de sécurité reconnaîtront grâce aux récentes violations de logiciels d'entreprise, mais qui reste rare parmi les fournisseurs d'infrastructures d'IA, dont beaucoup n'ont jamais traité d'incident public. Le choix de désactiver les fonctionnalités des ensembles de données en libre-service tout en laissant le produit d’inférence principal fonctionner suggère que l’exposition était concentrée dans les systèmes auxiliaires plutôt que dans le parcours de service client lui-même.

---

Gardez une longueur d'avance sur l'IA

Recevez les dernières actualités, analyses et avancées en matière d'IA, le tout en un seul endroit.

Lire plus d'actualités sur l'IA →