Fireworks AI amplia la comunicazione sulla violazione includendo dataset e pesi dei modelli

Il 9 novembre 2026, Fireworks AI ha ampliato la comunicazione su un incidente di sicurezza avvenuto a ottobre, riferendo che gli aggressori hanno avuto accesso a informazioni sugli account e di fatturazione e, per un gruppo limitato di clienti, a segreti, dataset e pesi incompleti dei modelli. Inizialmente, il fornitore di infrastrutture per l’IA aveva descritto l’incidente come un uso non autorizzato di credenziali interne.

L’applicazione interna interessata consentiva di accedere ai metadati delle risorse, tra cui identificativi, nomi visualizzati, descrizioni e date di creazione. Le informazioni di fatturazione comprendevano indirizzi di fatturazione e spedizione, cronologia delle fatture e dei pagamenti, saldi degli account e utilizzo del credito. Fireworks non conserva i numeri delle carte di pagamento, che non sono stati coinvolti. I clienti i cui dati sono stati interessati stanno ricevendo informazioni specifiche per il proprio account e le misure consigliate; l’indagine in corso potrebbe far emergere ulteriori elementi.

Le macchine di sviluppo hanno offerto un’altra via di accesso

L’aggiornamento amplia quanto riportato nel bollettino originale del 9 ottobre 2026 di Fireworks. Il 6 ottobre 2026, l’azienda ha individuato un uso non autorizzato di credenziali interne e ha avviato le misure di contenimento. Un soggetto non autorizzato aveva avuto accesso alle variabili d’ambiente utilizzate nei processi di valutazione di un numero limitato di account cliente. In quella fase, Fireworks non aveva rilevato accessi non autorizzati a modelli dei clienti, dataset, dati di addestramento, informazioni personali o traffico di inferenza all’interno del proprio perimetro di sicurezza o sotto il proprio controllo.

Le notifiche ai clienti sono iniziate il 7 ottobre 2026. Fireworks ha ruotato le chiavi API dei dipendenti il 9 ottobre e, il 10 ottobre 2026, ha revocato altre chiavi utente e ruotato i token degli account di servizio. L’attività successiva ha seguito una via diversa: il 23 ottobre 2026, un fornitore cloud di terze parti che ospitava le macchine di ricerca e sviluppo di Fireworks ha subito un incidente di sicurezza.

Il 24 ottobre 2026, il soggetto non autorizzato ha sfruttato quell’incidente per accedere alle macchine di sviluppo di Fireworks e vi ha eseguito un carico di lavoro non autorizzato, causando un ulteriore impatto sui dati dei clienti. Fireworks ha rilevato l’attività lo stesso giorno, ha adottato misure correttive e ha chiuso le vulnerabilità critiche note. L’azienda ha dichiarato che, al 25 ottobre 2026, non aveva rilevato ulteriori accessi non autorizzati riusciti da parte dell’autore dell’attacco sulla piattaforma utilizzata dai clienti.

Restrizioni temporanee sulle operazioni relative ai dataset

Fireworks ha informato le forze dell’ordine e ha incaricato Palo Alto Networks Unit 42 di svolgere un’analisi forense. Le misure adottate da Fireworks hanno incluso la revoca e la sostituzione di credenziali e account di servizio, la rimozione di privilegi elevati non necessari, la limitazione dei percorsi di rete non autorizzati, l’isolamento dei sistemi interessati, il rafforzamento dei controlli di accesso ai sistemi di archiviazione e analisi e il potenziamento della registrazione degli eventi e del monitoraggio.

Alcune operazioni rivolte ai clienti sono soggette a restrizioni. I caricamenti e i download autonomi dei dataset utilizzati per Batch Inference e per l’addestramento basato sui dataset sono disabilitati mentre prosegue l’indagine. Training SDK rimane disponibile con conservazione zero dei dati, il che significa che i dati di addestramento non vengono archiviati in modo persistente. L’addestramento basato su Fireworks Lab si svolge in un ambiente isolato, con ulteriori protezioni di rete e archiviazione.

Non è stato rilevato alcun impatto su Inference, Training SDK o Nexus, tutti configurati per impostazione predefinita con conservazione zero dei dati; questa conclusione, tuttavia, si limita a quanto emerso finora dall’indagine. La documentazione sulla sicurezza dei dati di Fireworks afferma che i prompt e le risposte generate durante l’inferenza con modelli aperti non vengono registrati né archiviati senza il consenso esplicito dell’utente. Nexus non archivia prompt, risposte, codice, chiamate agli strumenti o tracce, ma conserva i metadati di servizio necessari al funzionamento del servizio e li rende anonimi dopo 30 giorni.

Le precedenti indicazioni di Fireworks invitavano i clienti informati a sostituire le chiavi API di Fireworks revocate, ruotare presso i rispettivi fornitori le credenziali di terze parti individuate, esaminare i log e i dati associati e verificare la presenza di chiavi, utenti, valutatori, processi di addestramento e dataset non riconosciuti. La sola rimozione di un segreto archiviato non invalida la credenziale di terze parti sottostante.

Il mercato di rivendita del LLMJacking

Fireworks ha dichiarato che gli elementi raccolti collegano l’attività a un gruppo di criminali informatici motivati da ragioni economiche, intenzionato a vendere accessi non autorizzati a LLM tramite gateway di instradamento illeciti, una pratica nota come LLMJacking. L’azienda ha citato una ricerca del 2 novembre 2026 di Google Threat Intelligence Group e Mandiant, secondo cui gli LLM Mixer sono gateway illeciti che fungono da proxy, aggregano e rivendono l’accesso non autorizzato ai modelli ad abbonati clandestini. Alcune operazioni separano la compromissione iniziale dalla monetizzazione successiva.

I ricercatori hanno riferito che, nel complesso delle diverse indagini di Mandiant, in singoli incidenti gli addebiti fraudolenti per il consumo di risorse hanno superato i 100.000 dollari in un solo giorno e, presso alcune organizzazioni, hanno raggiunto cumulativamente 1 milione di dollari prima che l’accesso fosse revocato. Queste cifre si riferiscono alle indagini più ampie, non alle perdite di Fireworks. In tutti quei casi, i token di identità cloud esposti o sottratti sono stati il principale vettore di accesso iniziale.

I ricercatori raccomandano una gestione centralizzata dei segreti, l’accesso con privilegi minimi, verifiche periodiche delle configurazioni, controlli della spesa e il monitoraggio di richieste anomale a basso volume, che possono convalidare credenziali sottratte senza attivare gli allarmi basati sul volume. La sostituzione delle credenziali, la riduzione dei privilegi e il monitoraggio ampliato di Fireworks sono in linea con diverse di queste priorità difensive, mentre il suo aggiornamento mette in luce anche i rischi legati alle macchine di sviluppo e alle infrastrutture di terze parti.

Per i clienti Fireworks, la risposta ora va oltre la sostituzione delle chiavi e comprende la verifica delle informazioni di fatturazione e, per il gruppo ristretto interessato, dei dataset e degli asset dei modelli non ancora completati. Con i trasferimenti dei dataset ancora disabilitati e le indagini in corso, l’incidente collega la compromissione di un ambiente di sviluppo sia all’esposizione di asset di IA sia all’interruzione dei flussi di lavoro usati per crearli.