Згідно з оновленим бюлетенем безпеки, опублікованим на його сайті 9 листопада, Fireworks AI, за підтримки Nvidia, сповістив клієнтів, що раніше розкритий інцидент безпеки був значно ширшим, ніж повідомлялося вперше: зловмисники отримали доступ до облікових записів і платіжної інформації, а також до обмеженого набору облікових записів, секретів, наборів даних і неповних вагових коефіцієнтів моделі, згідно з оновленим бюлетенем безпеки, опублікованим на його сайті 9 листопада. Bloomberg і Forbes повідомили про розкриття в понеділок, а Forbes описав кібератака як розкриття даних клієнтів і моделей ШІ.

Компанія вперше оприлюднила цей інцидент 9 жовтня, коли вона заявила, що був доступ лише до збережених у Fireworks секретів, які використовувалися під час оцінювання. Нове оновлення суттєво розширює цю оцінку та пов’язує вторгнення з фінансово мотивованою групою кіберзлочинців, яка займається тим, що галузь називає «LLMJacking» — крадіжкою доступу до великих мовних моделей і перепродажем токенів незаконним шлюзам маршрутизації. Для компаній, які відстежують [новини галузі безпеки штучного інтелекту] (https://aibuzzwire.news), ця справа виглядає як еталонний інцидент для нового класу атак на інфраструктуру ШІ.

Як розгортався другий прорив

Згідно з бюлетенем, 23 жовтня у стороннього хмарного провайдера, який розміщує машини для досліджень і розробок Fireworks, стався власний інцидент безпеки. Наступного дня неавторизована сторона скористалася цією опорою, щоб отримати доступ до машин розробки Fireworks і запустила неавторизоване робоче навантаження, що призвело до додаткового впливу на дані клієнтів. У Fireworks стверджують, що виявили активність того ж дня та вжили заходів щодо її усунення, а станом на 25 жовтня не знайшли жодних доказів успішного несанкціонованого доступу до платформи, якою користуються клієнти.

Компанія співпрацює з відділом 42 Palo Alto Networks, який проводить криміналістичний аналіз, і заявила, що повідомила правоохоронні органи після початкового інциденту. Google Threat Intelligence Group і Mandiant 2 листопада опублікували допис у блозі, в якому задокументували розвиток LLMJacking, мотиви, що стоять за цим, і методи, які використовувалися — контекст Fireworks цитував у своєму розкритті.

Які дані було взято

Уражена внутрішня програма розкрила кілька категорій інформації відповідно до бюлетеня:

  • Метадані ресурсів, включаючи ідентифікатори ресурсів Fireworks, відображувані назви, описи та час створення.
  • Платіжна інформація, зокрема адреси виставлення рахунків і доставки, рахунок-фактура та історія платежів, залишки на рахунку та використання кредиту.
  • Вагові коефіцієнти моделей і набори даних: для певних клієнтів був доступ до підмножини неповних вагових коефіцієнтів моделей і наборів даних.

У Fireworks заявили, що номери платіжних карток не зберігаються в її системах і це не вплинуло. Він також заявив, що не виявив жодного впливу на свої основні сервіси Inference, Training SDK і Nexus, які за замовчуванням працюють із нульовим збереженням даних, що означає, що навчання клієнтів або дані висновків не зберігаються в стані спокою. Компанія заявила, що безпосередньо сповіщає клієнтів, чиї дані зазнали впливу, з докладною інформацією про вплив і рекомендовані дії у відповідь.

Стримування та відкриті запитання

У рамках своєї відповіді, співпрацюючи з Unit 42, Fireworks каже, що вона відкликала та замінила облікові дані та сервісні облікові записи, видалила непотрібні підвищені привілеї, обмежила мережеві шляхи та ізольовані уражені системи, посилила доступ до систем зберігання даних і аналітики, а також посилила ведення журналів і моніторинг. Він також відключив самообслуговування завантажень і завантажень наборів даних, які використовуються Batch Inference та навчання на основі наборів даних, поки триває розслідування.

Два важливих питання залишаються відкритими. По-перше, скільки отриманих «неповних вагових коефіцієнтів моделі» насправді можна використовувати — часткові або незавершені вагові коефіцієнти, викрадені з конвеєра навчання, все ще можуть розкривати конкурентоспроможну інформацію про клієнтські моделі, що розробляються, і Fireworks не повідомляє, яких клієнтів і скільки це вплинуло. По-друге, які зобов’язання випливають з клієнтів, чиї конфіденційні набори даних були розкриті. Компанія каже, що її розслідування триває і може виявити додаткову інформацію.

Чому LLMJacking розвивається

Атаки LLMJacking націлені на хмарні сервіси штучного інтелекту, щоб отримати доступ до доступної моделі, а не до традиційних даних. Викрадені облікові дані або токени потім перепродуються через шлюзи тіньової маршрутизації, які пропонують знижений доступ до комерційних моделей. Група Google Threat Intelligence Group і Mandiant присвятили звіт від 2 листопада цій тенденції, яку дослідники безпеки відстежували протягом приблизно двох років, оскільки на підприємствах стрімко поширювалося впровадження хостингових висновків.

Розкриття Fireworks є одним із перших підтверджених випадків, коли зловмисники, схоже, поєднали цей посібник із крадіжкою артефактів моделі клієнтів у постачальника інфраструктури ШІ. Це відбувається на тлі ширшої хвилі інцидентів безпеки в екосистемі штучного інтелекту та додає тиску на постачальників висновків, щоб продемонструвати, що мультитенантні платформи можуть ізолювати робочі навантаження клієнтів. Стартапи, які оцінюють постачальників висновків, швидше за все, ставитимуть складніші запитання про ізоляцію клієнта, гігієну облікових даних і залежність від сторонніх хмар — саме цей шлях використано тут.

Fireworks каже, що цілодобово контролює свої системи та публікуватиме подальші оновлення в міру просування розслідування. Клієнтам, які мають занепокоєння, пропонується відповісти на їхні електронні листи зі сповіщеннями про інциденти або зв’язатися з адресою служби безпеки компанії.

Цей інцидент також показує, як розвиваються норми розкриття інформації для компаній ШІ. Fireworks опублікувала свій перший бюлетень протягом декількох днів після початкового вторгнення на початку жовтня, а потім двічі змінила його, коли криміналісти розширили картину — послідовність, яку команди безпеки розпізнають за останніми порушеннями корпоративного програмного забезпечення, але це залишається рідкістю серед постачальників інфраструктури ШІ, багато з яких ніколи не розглядали публічні інциденти. Вибір вимкнути функції набору даних для самообслуговування, залишаючи запущений основний продукт висновку, свідчить про те, що вплив було зосереджено на допоміжних системах, а не на самому шляху обслуговування клієнтів.

---

Будьте попереду ШІ

Отримуйте останні новини штучного інтелекту, аналіз і прориви — усе в одному місці.

Читати більше новин AI →