Nvidia が支援する推論スタートアップ企業 Fireworks AI は、11 月 9 日に同社のサイトで公開された最新のセキュリティ情報によると、以前に公開されたセキュリティ インシデントは最初に報告されたものよりも大幅に広範であり、攻撃者はアカウントと請求情報にアクセスし、限られたセットのアカウント、シークレット、データセット、不完全なモデルの重み付けにアクセスしていたことを顧客に通知しました。ブルームバーグとフォーブスは月曜日にこの開示を報じ、フォーブスはサイバー攻撃により顧客データと AI モデルが暴露されたと説明しました。

同社は10月9日に初めてこの事件を公表し、評価ジョブで使用されたFireworksに保存された機密情報のみがアクセスされたと発表した。新しいアップデートはその評価を大幅に拡大し、業界で「LLMジャッキング」と呼ばれるものを追求する金銭目的のサイバー犯罪グループと侵入を結びつけます。これは、大規模な言語モデルへのアクセスを盗み、不正なルーティングゲートウェイにトークンを転売するものです。 AI 業界のセキュリティ ニュース を追跡している企業にとって、この事件は AI インフラストラクチャに対する新しい種類の攻撃の参照インシデントとして形を整えています。

2 番目の侵害はどのように展開されたか

この速報によると、Fireworks の研究開発マシンをホストしているサードパーティのクラウド プロバイダーが 10 月 23 日に独自のセキュリティ インシデントを経験しました。翌日、無許可の者がその足がかりを利用して Fireworks 開発マシンに到達し、無許可のワークロードを実行して、さらなる顧客データへの影響をもたらしました。 Fireworksは、同日にこの活動を検出して修復措置を講じたと述べ、10月25日の時点で、顧客が使用するプラットフォーム上で不正アクセスが成功したというさらなる証拠は見つかっていない、と述べた。

同社はフォレンジック分析を行っているパロアルトネットワークスのユニット42と協力しており、最初の事件後に法執行機関に通報したと述べた。 Google Threat Intelligence Group と Mandiant は 11 月 2 日、LLMJacking の台頭、その背後にある動機、および使用された技術を文書化したブログ投稿を公開しました。その背景は Fireworks 自身の開示で引用されています。

取得されたデータ

速報によると、影響を受けた内部アプリケーションにより、いくつかのカテゴリの情報が公開されました。

  • リソース メタデータ (Fireworks リソース識別子、表示名、説明、作成時刻など)。
  • 請求先住所、配送先住所、請求書と支払履歴、アカウント残高、クレジットの使用状況などの請求情報。
  • モデルの重みとデータセット: 特定の顧客について、不完全なモデルの重みとデータセットのサブセットがアクセスされました。

Fireworks は、支払いカード番号はシステムに保存されておらず、影響はないと述べた。また、コアの推論、トレーニング SDK、および Nexus サービスへの影響は検出されていないと述べました。これらのサービスはデフォルトでデータ保持ゼロで動作します。つまり、顧客のトレーニング データや推論データは保存されていません。同社は、データが影響を受けた顧客に、影響の詳細と推奨される対応策を直接通知していると述べた。

封じ込めと未解決の質問

Fireworksは、Unit 42と協力して対応の一環として、資格情報とサービスアカウントを取り消して置き換え、不必要な昇格された権限を削除し、ネットワーク経路を制限して影響を受けるシステムを隔離し、データストレージと分析システムへのアクセスを強化し、ログ記録と監視を強化したと述べている。また、調査継続中は、バッチ推論やデータセットベースのトレーニングで使用されるセルフサービスのデータセットのアップロードとダウンロードも無効にされました。

2 つの重要な疑問が未解決のままです。まず、アクセスされた「不完全なモデルの重み」のうち、実際に使用できるのはどれくらいかということです。トレーニング パイプラインから盗まれた部分的または進行中の重みによって、開発中の顧客モデルに関する競合情報が明らかになる可能性があります。また、Fireworks は、どの顧客、または何人の顧客が影響を受けたかについては明らかにしていません。第二に、独自のデータセットが公開された顧客にはどのような義務が課せられるかです。同社は調査が進行中であり、さらなる情報が明らかになる可能性があるとしている。

LLMJacking が成長している理由

LLMジャッキング攻撃は、従来のデータではなく、使用可能なモデルへのアクセスを収集するために、クラウドでホストされている AI サービスをターゲットにします。盗まれた資格情報またはトークンは、商用モデルへの低価格アクセスを提供するシャドウ ルーティング ゲートウェイを通じて再販されます。 Google の脅威インテリジェンス グループと Mandiant は 11 月 2 日のレポートで、ホスト型推論の企業導入が爆発的に増加する中、セキュリティ研究者が約 2 年間追跡してきたこの傾向について報告しました。

Fireworks の開示は、攻撃者がそのプレイブックと AI インフラストラクチャ プロバイダーの顧客モデル アーティファクトの盗難を組み合わせたと思われる最初に確認されたケースの 1 つです。これは、AI エコシステム全体にわたるセキュリティ インシデントのより広範な波の真っ只中に上陸し、マルチテナント プラットフォームが顧客のワークロードを分離できることを実証するよう推論プロバイダーにプレッシャーを与えています。推論ベンダーを評価する新興企業は、テナントの分離、資格情報の衛生管理、サードパーティのクラウド依存関係について、より難しい質問をする可能性があります。これは、まさにここで活用された経路です。

Fireworks は、システムを 24 時間監視しており、調査が進み次第、さらなる最新情報を公開すると述べています。懸念がある顧客は、インシデント通知メールに返信するか、会社のセキュリティ通知アドレスに連絡するよう指示されます。

この事件はまた、AI企業にとって情報開示規範がどのように成熟しているかを示している。 Fireworks は 10 月初旬の最初の侵入から数日以内に最初のセキュリティ情報を公開し、その後、フォレンジックによって状況が拡大するにつれて 2 回修正しました。これはセキュリティ チームが最近のエンタープライズ ソフトウェア侵害から認識している順序ですが、AI インフラストラクチャ プロバイダーの間では依然として一般的ではなく、その多くは公的インシデントに対処したことがありません。コア推論製品を実行したままセルフサービス データセット機能を無効にするという選択は、エクスポージャーが顧客サービス パス自体ではなく補助システムに集中していたことを示唆しています。

---

AI の先を行く

最新の AI ニュース、分析、画期的な情報をすべて 1 か所で入手できます。

AI ニュースをもっと読む→