Fireworks AI, a startup de inferência apoiada pela Nvidia, notificou os clientes de que um incidente de segurança divulgado anteriormente era significativamente mais amplo do que o relatado inicialmente, com invasores acessando informações de contas e faturamento e, para um conjunto limitado de contas, segredos, conjuntos de dados e pesos de modelo incompletos, de acordo com um boletim de segurança atualizado publicado em seu site em 9 de novembro.

A empresa divulgou o incidente pela primeira vez em 9 de outubro, quando disse que apenas os segredos armazenados no Fireworks usados ​​em trabalhos de avaliação foram acessados. A nova atualização amplia substancialmente essa avaliação e vincula a intrusão a um grupo cibercriminoso com motivação financeira que busca o que a indústria chama de “LLMJacking” – roubar acesso a grandes modelos de linguagem e revender os tokens para gateways de roteamento ilícitos. Para as empresas que acompanham notícias sobre segurança da indústria de IA, o caso está se configurando como um incidente de referência para uma nova classe de ataques à infraestrutura de IA.

Como a segunda violação se desenrolou

De acordo com o boletim, um provedor de nuvem terceirizado que hospeda máquinas de pesquisa e desenvolvimento do Fireworks sofreu seu próprio incidente de segurança em 23 de outubro. No dia seguinte, uma parte não autorizada usou esse ponto de apoio para alcançar máquinas de desenvolvimento do Fireworks e executou uma carga de trabalho não autorizada que levou a um impacto adicional nos dados do cliente. A Fireworks afirma que detectou a atividade no mesmo dia e tomou medidas de remediação, e que até 25 de outubro não encontrou mais evidências de acesso não autorizado bem-sucedido na plataforma usada pelos clientes.

A empresa está trabalhando com a Unidade 42 da Palo Alto Networks, que está conduzindo análises forenses, e disse que notificou as autoridades após o incidente original. O Google Threat Intelligence Group e a Mandiant publicaram uma postagem no blog em 2 de novembro documentando a ascensão do LLMJacking, os motivos por trás dele e as técnicas usadas – contexto que o Fireworks citou em sua própria divulgação.

Quais dados foram obtidos

O aplicativo interno afetado expôs diversas categorias de informações, conforme boletim:

  • Metadados de recursos, incluindo identificadores de recursos do Fireworks, nomes de exibição, descrições e horários de criação.
  • Informações de cobrança, incluindo endereços de cobrança e envio, histórico de faturas e pagamentos, saldos de contas e uso de crédito.
  • Pesos de modelo e conjuntos de dados: para determinados clientes, um subconjunto de pesos de modelo e conjuntos de dados incompletos foi acessado.

A Fireworks disse que os números dos cartões de pagamento não são armazenados em seus sistemas e não foram afetados. Ele também afirmou que não detectou nenhum impacto em seus serviços principais de inferência, SDK de treinamento e Nexus, que operam com retenção zero de dados por padrão – o que significa que nenhum treinamento de cliente ou dados de inferência são armazenados em repouso. A empresa disse que está notificando diretamente os clientes cujos dados foram afetados com detalhes sobre o impacto e ações de resposta recomendadas.

Contenção e perguntas abertas

Como parte de sua resposta, trabalhando com a Unidade 42, a Fireworks afirma que revogou e substituiu credenciais e contas de serviço, removeu privilégios elevados desnecessários, restringiu caminhos de rede e isolou sistemas afetados, reforçou o acesso a sistemas de armazenamento e análise de dados e reforçou o registro e o monitoramento. Ele também desativou uploads e downloads de conjuntos de dados de autoatendimento usados ​​pela inferência em lote e pelo treinamento baseado em conjunto de dados enquanto a investigação continua.

Duas questões importantes permanecem em aberto. Primeiro, quanto dos “pesos de modelo incompletos” acessados ​​são realmente utilizáveis ​​– pesos parciais ou em andamento roubados de um pipeline de treinamento ainda podem revelar informações competitivas sobre modelos de clientes em desenvolvimento, e o Fireworks não informou quais clientes ou quantos foram afetados. Em segundo lugar, quais são as obrigações aplicáveis ​​aos clientes cujos conjuntos de dados proprietários foram expostos. A empresa afirma que sua investigação está em andamento e pode revelar informações adicionais.

Por que o LLMJacking está crescendo

Os ataques LLMJacking têm como alvo serviços de IA hospedados na nuvem para coletar acesso a modelos utilizáveis, em vez de dados tradicionais. As credenciais ou tokens roubados são então revendidos por meio de gateways de roteamento oculto que oferecem acesso a preços reduzidos a modelos comerciais. O Threat Intelligence Group do Google e a Mandiant dedicaram um relatório de 2 de novembro à tendência, que os pesquisadores de segurança acompanharam por cerca de dois anos, à medida que a adoção corporativa de inferência hospedada explodiu.

A divulgação do Fireworks é um dos primeiros casos confirmados em que os invasores parecem ter combinado esse manual com o roubo de artefatos de modelos de clientes em um fornecedor de infraestrutura de IA. Ele ocorre em meio a uma onda mais ampla de incidentes de segurança em todo o ecossistema de IA e aumenta a pressão sobre os provedores de inferência para demonstrar que as plataformas multilocatários podem isolar as cargas de trabalho dos clientes. As startups que avaliam fornecedores de inferência provavelmente farão perguntas mais difíceis sobre isolamento de locatários, higiene de credenciais e dependências de nuvem de terceiros – o caminho exato explorado aqui.

A Fireworks afirma que monitora seus sistemas 24 horas por dia e publicará mais atualizações à medida que a investigação avança. Os clientes preocupados devem responder aos e-mails de notificação de incidentes ou entrar em contato com o endereço de aviso de segurança da empresa.

O incidente também ilustra como as normas de divulgação estão amadurecendo para as empresas de IA. A Fireworks publicou seu primeiro boletim poucos dias após a intrusão inicial, no início de outubro, e depois o alterou duas vezes, à medida que a perícia forense ampliava o quadro – uma sequência que as equipes de segurança reconhecerão a partir de recentes violações de software empresarial, mas que permanece incomum entre os fornecedores de infraestrutura de IA, muitos dos quais nunca lidaram com um incidente público. A escolha de desativar os recursos de autoatendimento do conjunto de dados e deixar o produto de inferência principal em execução sugere que a exposição estava concentrada em sistemas auxiliares, e não no próprio caminho de atendimento ao cliente.

---

Fique à frente da IA

Receba as últimas notícias, análises e avanços sobre IA — tudo em um só lugar.

Leia mais notícias sobre IA →