Fireworks AI, de door Nvidia gesteunde inferentie-startup, heeft klanten laten weten dat een eerder onthuld beveiligingsincident aanzienlijk breder was dan eerst werd gemeld, waarbij aanvallers toegang kregen tot account- en factuurgegevens en, voor een beperkte reeks accounts, geheimen, datasets en onvolledige modelgewichten, volgens een bijgewerkt beveiligingsbulletin dat op 9 november op de site werd gepubliceerd. Bloomberg en Forbes rapporteerden de onthulling maandag, waarbij Forbes de cyberaanval omschreef als het blootleggen van klantgegevens en AI-modellen.

Het bedrijf maakte het incident voor het eerst bekend op 9 oktober, toen het zei dat alleen toegang was verkregen tot in Fireworks opgeslagen geheimen die bij evaluatietaken werden gebruikt. De nieuwe update verruimt die beoordeling aanzienlijk en koppelt de inbraak aan een financieel gemotiveerde groep cybercriminelen die bezig is met wat de industrie 'LLMJacking' noemt: het stelen van de toegang tot grote taalmodellen en het doorverkopen van de tokens aan illegale routeringsgateways. Voor bedrijven die AI-industrie-beveiligingsnieuws volgen, begint de zaak zich te ontwikkelen als een referentie-incident voor een nieuwe klasse aanvallen op de AI-infrastructuur.

Hoe de tweede inbreuk zich ontvouwde

Volgens het bulletin ondervond een externe cloudprovider die de onderzoeks- en ontwikkelingsmachines van Fireworks hostte op 23 oktober zijn eigen beveiligingsincident. De volgende dag gebruikte een ongeautoriseerde partij die steunpunt om Fireworks-ontwikkelmachines te bereiken en voerde een ongeautoriseerde werklast uit die leidde tot extra impact op klantgegevens. Fireworks zegt dat het de activiteit dezelfde dag heeft ontdekt en herstelmaatregelen heeft genomen, en dat het vanaf 25 oktober geen verder bewijs heeft gevonden van succesvolle ongeautoriseerde toegang tot het platform dat klanten gebruiken.

Het bedrijf werkt samen met Unit 42 van Palo Alto Networks, die forensische analyses uitvoert, en zei dat het de politie na het oorspronkelijke incident op de hoogte heeft gesteld. Google Threat Intelligence Group en Mandiant publiceerden op 2 november een blogpost waarin de opkomst van LLMJacking, de motieven erachter en de gebruikte technieken werden gedocumenteerd – context die Fireworks aanhaalde in zijn eigen openbaarmaking.

Welke gegevens zijn opgenomen

De getroffen interne applicatie onthulde verschillende categorieën informatie, volgens het bulletin:

  • Metagegevens van bronnen, inclusief Fireworks-bron-ID's, weergavenamen, beschrijvingen en aanmaaktijden.
  • Factureringsgegevens, inclusief factuur- en verzendadressen, factuur- en betalingsgeschiedenis, rekeningsaldi en kredietgebruik.
  • Modelgewichten en datasets: voor bepaalde klanten werd toegang verkregen tot een subset van onvolledige modelgewichten en datasets.

Fireworks zei dat betaalkaartnummers niet op zijn systemen worden opgeslagen en dat er geen gevolgen voor zijn. Het bedrijf verklaarde ook dat het geen impact heeft ontdekt op zijn kerndiensten Inference, Training SDK en Nexus, die standaard werken zonder gegevensretentie – wat betekent dat er geen klanttraining of gevolgtrekkingsgegevens in rust worden opgeslagen. Het bedrijf zei dat het klanten wier gegevens zijn getroffen rechtstreeks op de hoogte stelt met details over de impact en aanbevolen reactieacties.

Containment en open vragen

Als onderdeel van zijn reactie, in samenwerking met Unit 42, zegt Fireworks dat het inloggegevens en serviceaccounts heeft ingetrokken en vervangen, onnodige verhoogde rechten heeft verwijderd, netwerkpaden heeft beperkt en getroffen systemen isoleert, de toegang tot gegevensopslag- en analysesystemen heeft aangescherpt en de logboekregistratie en monitoring heeft verscherpt. Het heeft ook het uploaden en downloaden van zelfbedieningsdatasets uitgeschakeld die worden gebruikt door Batch Inference en op datasets gebaseerde training terwijl het onderzoek voortduurt.

Er blijven twee belangrijke vragen open. Ten eerste, hoeveel van de geraadpleegde ‘onvolledige modelgewichten’ daadwerkelijk bruikbaar zijn – gedeeltelijke of lopende gewichten die uit een trainingspijplijn zijn gestolen, kunnen nog steeds concurrerende informatie onthullen over klantmodellen die in ontwikkeling zijn, en Fireworks heeft niet gezegd welke klanten of hoeveel er getroffen zijn. Ten tweede, welke verplichtingen volgen er voor klanten wier eigen datasets openbaar zijn gemaakt. Het bedrijf zegt dat het onderzoek nog gaande is en mogelijk aanvullende informatie zal onthullen.

Waarom LLMJacking groeit

LLMJacking-aanvallen zijn gericht op in de cloud gehoste AI-services om bruikbare modeltoegang te verzamelen in plaats van traditionele gegevens. De gestolen inloggegevens of tokens worden vervolgens doorverkocht via schaduwrouteringsgateways die voordelige toegang tot commerciële modellen bieden. Google's Threat Intelligence Group en Mandiant wijdden een rapport van 2 november aan de trend, die beveiligingsonderzoekers ongeveer twee jaar lang hebben gevolgd nu de adoptie van gehoste inferentie door bedrijven explosief is toegenomen.

De onthulling van Fireworks is een van de eerste bevestigde gevallen waarin aanvallers dat draaiboek lijken te hebben gecombineerd met diefstal van klantmodelartefacten bij een aanbieder van AI-infrastructuur. Het komt terecht te midden van een bredere golf van beveiligingsincidenten in het AI-ecosysteem en vergroot de druk op leveranciers van inferenties om aan te tonen dat multi-tenantplatforms de werklast van klanten kunnen isoleren. Startups die leveranciers van inferenties evalueren, zullen waarschijnlijk moeilijkere vragen stellen over de isolatie van huurders, de hygiëne van inloggegevens en de afhankelijkheden van de cloud van derden – het exacte pad dat hier wordt benut.

Fireworks zegt dat het zijn systemen 24 uur per dag in de gaten houdt en verdere updates zal publiceren naarmate het onderzoek vordert. Klanten die zich zorgen maken, worden verzocht hun e-mails met incidentmeldingen te beantwoorden of contact op te nemen met het beveiligingsadres van het bedrijf.

Het incident illustreert ook hoe de openbaarmakingsnormen voor AI-bedrijven volwassen worden. Fireworks publiceerde begin oktober zijn eerste bulletin binnen enkele dagen na de eerste inbraak en wijzigde het vervolgens twee keer omdat forensisch onderzoek het beeld verbreedde – een reeks die beveiligingsteams zullen herkennen uit recente inbreuken op bedrijfssoftware, maar dat blijft ongebruikelijk onder leveranciers van AI-infrastructuur, waarvan er vele nog nooit een openbaar incident hebben afgehandeld. De keuze om de zelfbedieningsdatasetfuncties uit te schakelen en het kerninferentieproduct actief te laten, suggereert dat de blootstelling geconcentreerd was in ondersteunende systemen in plaats van in het klantbedieningstraject zelf.

---

Blijf AI een stap voor

Ontvang het laatste AI-nieuws, analyses en doorbraken – allemaal op één plek.

Lees meer AI-nieuws →