Fireworks AI, wiwitan inferensi sing didhukung Nvidia, wis menehi kabar marang para pelanggan yen kedadeyan keamanan sing diungkapake sadurunge luwih akeh tinimbang sing dilaporake, kanthi panyerang ngakses akun lan informasi tagihan lan, kanggo akun winates, rahasia, dataset, lan bobot model sing ora lengkap, miturut buletin keamanan sing dianyari sing diterbitake ing situs kasebut tanggal 9 November. data pelanggan lan model AI.

Perusahaan kasebut pisanan ngumumake kedadeyan kasebut tanggal 9 Oktober, nalika ujar mung rahasia sing disimpen ing Fireworks sing digunakake ing proyek evaluasi sing wis diakses. Pembaruan anyar kasebut kanthi signifikan nggedhekake penilaian kasebut lan ngubungake gangguan kasebut menyang klompok kriminal cyber sing duwe motivasi finansial sing ngupayakake apa sing diarani industri "LLMJacking" - nyolong akses menyang model basa gedhe lan adol maneh token menyang gateway rute sing ora sah. Kanggo perusahaan sing nelusuri kabar keamanan industri AI, kasus kasebut dadi kedadeyan referensi kanggo kelas serangan anyar ing infrastruktur AI.

Carane Pelanggaran Kapindho Unfolded

Miturut buletin kasebut, panyedhiya maya pihak katelu sing nyelenggarakake mesin riset lan pangembangan Fireworks ngalami kedadeyan keamanan dhewe ing 23 Oktober. Esuke, pihak sing ora sah nggunakake pijakan kasebut kanggo nggayuh mesin pangembangan Fireworks lan nglakokake beban kerja sing ora sah sing nyebabake pengaruh data pelanggan tambahan. Fireworks ujar manawa ndeteksi kegiatan kasebut ing dina sing padha lan njupuk langkah remediasi, lan wiwit tanggal 25 Oktober, ora ana bukti liyane babagan akses ora sah sing sukses ing platform sing digunakake para pelanggan.

Perusahaan kasebut nggarap Unit 42 Palo Alto Networks, sing nganakake analisis forensik, lan ujar manawa menehi kabar marang penegak hukum sawise kedadeyan asli. Google Threat Intelligence Group lan Mandiant nerbitake postingan blog tanggal 2 November sing nyathet babagan kebangkitan LLMJacking, motif sing ana ing mburi, lan teknik sing digunakake - konteks Fireworks dikutip ing pambocoran dhewe.

Data Apa sing Dijupuk

Aplikasi internal sing kena pengaruh mbukak sawetara kategori informasi, saben buletin:

  • Metadata sumber daya, kalebu pengenal sumber Fireworks, jeneng tampilan, deskripsi, lan wektu nggawe.
  • Informasi tagihan, kalebu alamat tagihan lan pengiriman, invoice lan riwayat pembayaran, saldo akun, lan panggunaan kredit.
  • Bobot model lan set data: kanggo pelanggan tartamtu, subset bobot model lan set data sing ora lengkap diakses.

Fireworks ujar manawa nomer kertu pembayaran ora disimpen ing sistem kasebut lan ora kena pengaruh. Iki uga nyatakake yen ora ana pengaruh kanggo Inferensi inti, SDK Pelatihan, lan layanan Nexus, sing beroperasi kanthi retensi data nol kanthi standar - tegese ora ana latihan pelanggan utawa data inferensi sing disimpen kanthi istirahat. Perusahaan kasebut ujar manawa langsung menehi kabar marang para pelanggan sing data kena pengaruh kanthi rincian babagan dampak lan tumindak tanggapan sing disaranake.

Containment lan Pitakonan Terbuka

Minangka bagéan saka respon, nggarap Unit 42, Fireworks ngandika mbatalake lan ngganti kapercayan lan akun layanan, mbusak hak istimewa munggah pangkat rasah, jalur jaringan diwatesi lan sistem kena pengaruh terisolasi, tightened akses kanggo panyimpenan data lan sistem analytics, lan hardening logging lan ngawasi. Uga wis mateni unggahan lan undhuhan set data sing digunakake dening Inferensi Batch lan latihan basis data nalika diselidiki terus.

Loro pitakonan penting tetep mbukak. Pisanan, pira saka "bobot model sing ora lengkap" sing diakses bener bisa digunakake - bobot sebagean utawa ing proses sing dicolong saka pipa latihan isih bisa mbukak informasi kompetitif babagan model pelanggan sing dikembangake, lan Fireworks durung ujar manawa pelanggan utawa jumlah sing kena pengaruh. Kapindho, kewajiban apa sing ditindakake kanggo para pelanggan sing dataset kepemilikan wis kapapar. Perusahaan kasebut ujar manawa diselidiki isih ditindakake lan bisa uga mbukak informasi tambahan.

Apa LLMJacking Tuwuh

Serangan LLMJacking target layanan AI sing di-host awan kanggo entuk akses model sing bisa digunakake tinimbang data tradisional. Kredensial utawa token sing dicolong banjur didol maneh liwat gateway rute bayangan sing nawakake akses potongan rega menyang model komersial. Grup Intelijen Ancaman Google lan Mandiant nyediakake laporan tanggal 2 November kanggo tren kasebut, sing dilacak peneliti keamanan kira-kira rong taun amarga adopsi perusahaan saka inferensi sing di-host wis mbledhos.

Pambocoran Fireworks minangka salah sawijining kasus sing dikonfirmasi pisanan ing ngendi panyerang katon nggabungake playbook kasebut kanthi nyolong artefak model pelanggan ing panyedhiya infrastruktur AI. Tekan ing tengah-tengah gelombang insiden keamanan sing luwih akeh ing ekosistem AI lan nambah tekanan marang panyedhiya inferensi kanggo nduduhake manawa platform multi-tenant bisa ngisolasi beban kerja pelanggan. Startup sing ngevaluasi vendor inferensi bisa uga takon pitakonan sing luwih angel babagan pengasingan penyewa, kebersihan kredensial, lan ketergantungan awan pihak katelu - cara sing tepat sing dieksploitasi ing kene.

Fireworks ujar manawa ngawasi sistem kasebut saben jam lan bakal nerbitake nganyari luwih lanjut nalika diselidiki. Pelanggan sing kuwatir diarahake kanggo mbales email kabar kedadeyan utawa hubungi alamat kabar keamanan perusahaan.

Insiden kasebut uga nggambarake kepiye norma pambocoran diwasa kanggo perusahaan AI. Fireworks nerbitake buletin pisanan ing sawetara dina sawise intrusi awal ing awal Oktober, banjur diowahi kaping pindho minangka forensik nggedhekake gambar - tim keamanan urutan bakal ngenali saka pelanggaran piranti lunak perusahaan anyar nanging tetep ora umum ing antarane panyedhiya infrastruktur AI, akeh sing ora tau nangani kedadeyan umum. Pilihan kanggo mateni fitur dataset swalayan nalika ninggalake produk inferensi inti mlaku nuduhake cahya iki klempakan ing sistem ancillary tinimbang dalan customer-layanan dhewe.

---

Tetep Ahead of AI

Entuk warta, analisis, lan terobosan AI paling anyar - kabeh ing sak panggonan.

Waca liyane AI warta →