Fireworks AI, công ty khởi nghiệp suy luận được Nvidia hỗ trợ, đã thông báo cho khách hàng rằng sự cố bảo mật được tiết lộ trước đó có phạm vi rộng hơn đáng kể so với báo cáo đầu tiên, với những kẻ tấn công truy cập vào tài khoản và thông tin thanh toán, đồng thời đối với một số lượng hạn chế các tài khoản, bí mật, bộ dữ liệu và trọng số mô hình chưa hoàn chỉnh, theo một bản tin bảo mật cập nhật được công bố trên trang web của họ vào ngày 9 tháng 11. Bloomberg và Forbes đã báo cáo tiết lộ này vào thứ Hai, trong đó Forbes mô tả cuộc tấn công mạng là làm lộ dữ liệu khách hàng và các mô hình AI.
Công ty lần đầu tiên tiết lộ vụ việc vào ngày 9 tháng 10, khi đó họ cho biết chỉ những bí mật được lưu trữ trong Fireworks được sử dụng trong công việc đánh giá mới được truy cập. Bản cập nhật mới mở rộng đáng kể đánh giá đó và liên kết hành vi xâm nhập với một nhóm tội phạm mạng có động cơ tài chính đang theo đuổi cái mà ngành này gọi là "LLMJacking" — đánh cắp quyền truy cập vào các mô hình ngôn ngữ lớn và bán lại mã thông báo cho các cổng định tuyến bất hợp pháp. Đối với các công ty theo dõi tin tức bảo mật ngành AI, vụ việc này được coi là một sự cố tham khảo cho một loại tấn công mới vào cơ sở hạ tầng AI.
Vi phạm thứ hai diễn ra như thế nào
Theo bản tin, một nhà cung cấp đám mây bên thứ ba lưu trữ các máy nghiên cứu và phát triển của Fireworks đã gặp phải sự cố bảo mật của chính họ vào ngày 23 tháng 10. Ngày hôm sau, một bên trái phép đã sử dụng chỗ đứng đó để tiếp cận các máy phát triển Fireworks và chạy một khối lượng công việc trái phép dẫn đến tác động bổ sung đến dữ liệu khách hàng. Fireworks cho biết họ đã phát hiện hoạt động này cùng ngày và thực hiện các biện pháp khắc phục. Tính đến ngày 25 tháng 10, họ không tìm thấy thêm bằng chứng nào về việc truy cập trái phép thành công vào nền tảng mà khách hàng sử dụng.
Công ty đang làm việc với Đơn vị 42 của Palo Alto Networks, đơn vị đang tiến hành phân tích pháp y và cho biết họ đã thông báo cho cơ quan thực thi pháp luật sau vụ việc ban đầu. Nhóm tình báo mối đe dọa của Google và Mandiant đã xuất bản một bài đăng trên blog vào ngày 2 tháng 11 ghi lại sự gia tăng của LLMJacking, động cơ đằng sau nó và các kỹ thuật được sử dụng – bối cảnh Pháo hoa được trích dẫn trong tiết lộ riêng của mình.
Dữ liệu nào đã được lấy
Ứng dụng nội bộ bị ảnh hưởng đã tiết lộ một số loại thông tin, theo bản tin:
- Siêu dữ liệu tài nguyên, bao gồm số nhận dạng tài nguyên Pháo hoa, tên hiển thị, mô tả và thời gian tạo.
- Thông tin thanh toán, bao gồm địa chỉ thanh toán và giao hàng, hóa đơn và lịch sử thanh toán, số dư tài khoản và việc sử dụng tín dụng.
- Trọng lượng và tập dữ liệu mô hình: đối với một số khách hàng nhất định, một tập hợp con gồm các trọng số và tập dữ liệu mô hình không đầy đủ đã được truy cập.
Fireworks cho biết số thẻ thanh toán không được lưu trữ trên hệ thống của họ và không bị ảnh hưởng. Họ cũng tuyên bố rằng họ không phát hiện thấy tác động nào đến các dịch vụ Suy luận, SDK đào tạo và Nexus cốt lõi của mình, vốn hoạt động với mức lưu giữ dữ liệu bằng 0 theo mặc định - nghĩa là không có dữ liệu suy luận hoặc đào tạo khách hàng nào được lưu trữ ở trạng thái nghỉ. Công ty cho biết họ đang trực tiếp thông báo cho khách hàng có dữ liệu bị ảnh hưởng với thông tin chi tiết về tác động và các hành động ứng phó được đề xuất.
Ngăn chặn và câu hỏi mở
Là một phần trong phản hồi của mình, khi làm việc với Đơn vị 42, Fireworks cho biết họ đã thu hồi và thay thế thông tin đăng nhập và tài khoản dịch vụ, xóa các đặc quyền nâng cao không cần thiết, hạn chế đường dẫn mạng và cách ly các hệ thống bị ảnh hưởng, thắt chặt quyền truy cập vào hệ thống phân tích và lưu trữ dữ liệu cũng như tăng cường giám sát và ghi nhật ký. Nó cũng đã vô hiệu hóa tính năng tải lên và tải xuống tập dữ liệu tự phục vụ được sử dụng bởi Batch Inference và đào tạo dựa trên tập dữ liệu trong khi cuộc điều tra vẫn tiếp tục.
Hai câu hỏi quan trọng vẫn còn bỏ ngỏ. Đầu tiên, bao nhiêu "trọng lượng mô hình chưa hoàn chỉnh" được truy cập thực sự có thể sử dụng được - trọng lượng một phần hoặc đang trong quá trình bị đánh cắp từ quy trình đào tạo vẫn có thể tiết lộ thông tin cạnh tranh về các mô hình khách hàng đang được phát triển và Fireworks chưa cho biết khách hàng nào hoặc bao nhiêu người bị ảnh hưởng. Thứ hai, những nghĩa vụ nào sẽ được áp dụng đối với những khách hàng có bộ dữ liệu độc quyền bị lộ. Công ty cho biết cuộc điều tra đang diễn ra và có thể tiết lộ thêm thông tin.
Tại sao LLMJacking đang phát triển
Các cuộc tấn công LLMJacking nhắm vào các dịch vụ AI được lưu trữ trên đám mây để thu thập quyền truy cập mô hình có thể sử dụng thay vì dữ liệu truyền thống. Sau đó, thông tin xác thực hoặc mã thông báo bị đánh cắp sẽ được bán lại thông qua các cổng định tuyến bóng tối cung cấp quyền truy cập với mức giá thấp vào các mô hình thương mại. Nhóm Tình báo Đe dọa của Google và Mandiant đã đưa ra một báo cáo ngày 2 tháng 11 về xu hướng này. Các nhà nghiên cứu bảo mật đã theo dõi xu hướng này trong khoảng hai năm khi việc áp dụng suy luận được lưu trữ trên máy chủ của doanh nghiệp bùng nổ.
Tiết lộ của Fireworks là một trong những trường hợp đầu tiên được xác nhận trong đó những kẻ tấn công dường như đã kết hợp cuốn sách đó với việc đánh cắp các tạo phẩm mô hình khách hàng tại một nhà cung cấp cơ sở hạ tầng AI. Nó xảy ra giữa một làn sóng sự cố bảo mật rộng lớn hơn trên toàn hệ sinh thái AI và gây thêm áp lực lên các nhà cung cấp suy luận để chứng minh rằng nền tảng nhiều người thuê có thể cô lập khối lượng công việc của khách hàng. Các công ty khởi nghiệp đánh giá các nhà cung cấp suy luận có thể sẽ đặt những câu hỏi khó hơn về cách ly đối tượng thuê, vệ sinh thông tin xác thực và sự phụ thuộc vào đám mây của bên thứ ba - con đường chính xác được khai thác ở đây.
Fireworks cho biết họ đang theo dõi hệ thống của mình suốt ngày đêm và sẽ công bố thêm thông tin cập nhật khi cuộc điều tra tiến triển. Những khách hàng có thắc mắc sẽ được hướng dẫn trả lời email thông báo sự cố hoặc liên hệ với địa chỉ thông báo bảo mật của công ty.
Vụ việc cũng cho thấy các chuẩn mực công bố thông tin đang dần hoàn thiện đối với các công ty AI. Fireworks đã xuất bản bản tin đầu tiên trong vòng vài ngày kể từ lần xâm nhập đầu tiên vào đầu tháng 10, sau đó sửa đổi nó hai lần khi pháp y mở rộng bức tranh – một trình tự mà các nhóm bảo mật sẽ nhận ra từ các vi phạm phần mềm doanh nghiệp gần đây nhưng điều đó vẫn chưa phổ biến đối với các nhà cung cấp cơ sở hạ tầng AI, nhiều trong số đó chưa bao giờ xử lý một sự cố công cộng. Lựa chọn tắt các tính năng của tập dữ liệu tự phục vụ trong khi vẫn để sản phẩm suy luận cốt lõi chạy cho thấy mức độ phơi nhiễm tập trung vào các hệ thống phụ trợ thay vì chính đường dẫn phục vụ khách hàng.
---
Đi trước AINhận tin tức, phân tích và đột phá mới nhất về AI — tất cả ở cùng một nơi.
Đọc thêm tin tức về AI →
