Fireworks AI erweitert Offenlegung zu Sicherheitsvorfall auf Datensätze und Modellgewichte

Fireworks AI erweiterte am 9. November 2026 seine Offenlegung zu einem Sicherheitsvorfall im Oktober und berichtete, dass Angreifer auf Konto- und Abrechnungsinformationen sowie bei einer begrenzten Kundengruppe auf Geheimnisse, Datensätze und unvollständige Modellgewichte zugegriffen hatten. Der Anbieter von KI-Infrastruktur hatte den Vorfall zunächst als unbefugte Nutzung interner Zugangsdaten beschrieben.

Die betroffene interne Anwendung ermöglichte den Zugriff auf Metadaten zu Ressourcen, darunter Kennungen, Anzeigenamen, Beschreibungen und Erstellungszeitpunkte. Zu den Abrechnungsinformationen gehörten Rechnungs- und Lieferadressen, die Rechnungs- und Zahlungshistorie, Kontostände und die Kreditnutzung. Fireworks speichert keine Zahlungskartennummern; diese waren nicht betroffen. Kunden, deren Daten betroffen waren, erhalten kontospezifische Einzelheiten und Empfehlungen für das weitere Vorgehen. Die laufende Untersuchung könnte weitere Erkenntnisse zutage fördern.

Entwicklungsmaschinen eröffneten einen weiteren Zugangsweg

Die Aktualisierung geht über das ursprüngliche Bulletin vom 9. Oktober 2026 von Fireworks hinaus. Am 6. Oktober 2026 stellte das Unternehmen eine unbefugte Nutzung interner Zugangsdaten fest und begann mit der Eindämmung des Vorfalls. Eine unbefugte Person hatte in einer begrenzten Zahl von Kundenkonten auf Umgebungsvariablen zugegriffen, die bei Evaluierungsaufträgen verwendet wurden. Zu diesem Zeitpunkt hatte Fireworks innerhalb seines Sicherheitsbereichs oder seiner Kontrolle keinen unbefugten Zugriff auf Kundenmodelle, Datensätze, Trainingsdaten, personenbezogene Daten oder Inferenzverkehr festgestellt.

Die Benachrichtigung der Kunden begann am 7. Oktober 2026. Fireworks wechselte am 9. Oktober die API-Schlüssel seiner Beschäftigten und widerrief am 10. Oktober 2026 weitere Nutzerschlüssel und erneuerte die Token für Dienstkonten. Die späteren Aktivitäten nahmen einen anderen Weg: Bei einem Drittanbieter von Cloud-Diensten, auf dessen Infrastruktur die Forschungs- und Entwicklungsmaschinen von Fireworks gehostet wurden, kam es am 23. Oktober 2026 zu einem Sicherheitsvorfall.

Am 24. Oktober 2026 nutzte die unbefugte Person diesen Vorfall als Zugang zu den Entwicklungsmaschinen von Fireworks und führte eine nicht autorisierte Arbeitslast aus, wodurch weitere Kundendaten betroffen waren. Fireworks entdeckte die Aktivität noch am selben Tag, ergriff Maßnahmen zur Behebung des Vorfalls und schloss bekannte kritische Sicherheitslücken. Das Unternehmen erklärte, bis zum 25. Oktober 2026 keine weiteren erfolgreichen unbefugten Zugriffe des Angreifers auf die von Kunden genutzte Plattform festgestellt zu haben.

Vorübergehende Einschränkungen bei Datensatzoperationen

Fireworks benachrichtigte die Strafverfolgungsbehörden und beauftragte Palo Alto Networks Unit 42 mit einer forensischen Analyse. Zu den Maßnahmen von Fireworks gehörten der Widerruf und Austausch von Zugangsdaten und Dienstkonten, die Entfernung unnötiger erweiterter Berechtigungen, die Einschränkung nicht autorisierter Netzwerkpfade, die Isolierung betroffener Systeme, strengere Zugriffskontrollen für Speicher- und Analysesysteme sowie eine verbesserte Protokollierung und Überwachung.

Auch einige kundenorientierte Funktionen sind eingeschränkt. Das Hoch- und Herunterladen von Datensätzen im Selbstbedienungsverfahren, das für Batch Inference und das datensatzbasierte Training genutzt wird, ist während der laufenden Untersuchung deaktiviert. Das Training SDK ist weiterhin verfügbar und speichert keine Daten dauerhaft; das bedeutet, dass Trainingsdaten nicht im Ruhezustand gespeichert werden. Trainingsvorgänge in Fireworks Lab laufen in einer isolierten Umgebung mit zusätzlichen Netzwerk- und Speicherschutzmaßnahmen.

Bei Inference, Training SDK oder Nexus wurden keine Auswirkungen festgestellt; bei allen drei Diensten ist die dauerhafte Datenspeicherung standardmäßig deaktiviert. Diese Feststellung beschränkt sich jedoch auf den bisherigen Stand der Untersuchung. Laut der Dokumentation zur Datensicherheit von Fireworks werden Eingaben und Ausgaben bei der Inferenz mit offenen Modellen nicht protokolliert oder gespeichert, sofern Nutzer dem nicht ausdrücklich zustimmen. Nexus speichert keine Eingaben, Antworten, Code, Tool-Aufrufe oder Ablaufspuren. Der Dienst bewahrt jedoch die für seinen Betrieb erforderlichen Dienstmetadaten auf und entfernt daraus nach 30 Tagen die Identifizierungsmerkmale.

In seinen früheren Empfehlungen riet Fireworks den benachrichtigten Kunden, widerrufene Fireworks-API-Schlüssel zu ersetzen, identifizierte Zugangsdaten von Drittanbietern über die jeweiligen Anbieter zu erneuern, zugehörige Protokolle und Daten zu überprüfen und nach unbekannten Schlüsseln, Nutzern, Evaluatoren, Trainingsaufträgen und Datensätzen zu suchen. Das Entfernen eines gespeicherten Geheimnisses allein macht die zugrunde liegenden Zugangsdaten des Drittanbieters nicht ungültig.

Der Wiederverkaufsmarkt für LLMJacking

Fireworks erklärte, die vorliegenden Belege verknüpften die Aktivitäten mit einer finanziell motivierten Cyberkriminellengruppe, die unbefugten LLM-Zugang über illegale Routing-Gateways weiterverkaufen wolle – eine Praxis, die als LLMJacking bekannt ist. Das Unternehmen verwies auf eine am 2. November 2026 veröffentlichte Untersuchung der Google Threat Intelligence Group und von Mandiant. Darin werden LLM Mixers als illegale Gateways beschrieben, die unbefugten Modellzugang über Proxy-Dienste vermitteln, bündeln und an Abonnenten in Untergrundnetzwerken weiterverkaufen. Bei manchen Operationen werden der anfängliche Einbruch und die anschließende Monetarisierung voneinander getrennt.

Die Forschenden berichteten, dass bei den separaten Untersuchungen von Mandiant die beobachteten betrügerischen Gebühren für den Ressourcenverbrauch in einzelnen Vorfällen innerhalb eines Tages 100.000 US-Dollar überstiegen und sich bei einigen Organisationen insgesamt auf 1 Million US-Dollar beliefen, bevor der Zugriff widerrufen wurde. Diese Zahlen beziehen sich auf die umfassenderen Untersuchungen und nicht auf Verluste von Fireworks. In all diesen Fällen waren offengelegte oder gestohlene Identitätstoken für Cloud-Dienste der vorherrschende Weg für den Erstzugriff.

Die Forschenden empfehlen eine zentrale Verwaltung von Geheimnissen, Zugriffe nach dem Prinzip der geringsten Berechtigung, regelmäßige Konfigurationsprüfungen, Ausgabenkontrollen und die Überwachung ungewöhnlicher Anfragen mit geringem Volumen, die gestohlene Zugangsdaten überprüfen können, ohne mengenbasierte Alarme auszulösen. Fireworks’ Austausch von Zugangsdaten, Einschränkung von Berechtigungen und ausgeweitete Überwachung entsprechen mehreren dieser Abwehrprioritäten. Das Update macht zugleich die Risiken sichtbar, die Entwicklungsrechner und die Infrastruktur von Drittanbietern betreffen.

Für Fireworks-Kunden umfasst die Reaktion inzwischen mehr als nur den Austausch von Schlüsseln: Auch Abrechnungsinformationen müssen überprüft werden und bei der begrenzten betroffenen Gruppe zudem Datensätze und unfertige Modellressourcen. Da Datensatzübertragungen weiterhin deaktiviert sind und die Untersuchung andauert, verknüpft der Vorfall eine Kompromittierung der Entwicklungsumgebung sowohl mit der Offenlegung von KI-Ressourcen als auch mit der Unterbrechung der Arbeitsabläufe, in denen diese erstellt werden.