Fireworks AI、データセットとモデルの重みに関する情報を追加公表

Fireworks AIは2026年11月9日、10月に発生したセキュリティインシデントについて開示内容を拡大し、攻撃者がアカウント情報と請求情報にアクセスしたほか、一部の顧客についてはシークレット、データセット、不完全なモデルの重みにもアクセスしたと発表した。AIインフラプロバイダーである同社は当初、このインシデントを社内認証情報の不正使用と説明していた。

影響を受けた社内アプリケーションからは、識別子、表示名、説明、作成日時などのリソースメタデータにアクセスできた。請求情報には、請求先および配送先住所、請求書と支払いの履歴、アカウント残高、クレジットの利用状況が含まれていた。Fireworksは決済カード番号を保存しておらず、これらの情報は影響を受けていない。データに影響が及んだ顧客には、アカウントごとの詳細と推奨される対応策を通知しており、現在進行中の調査によって、さらに新たな事実が判明する可能性がある。

開発用マシンが新たな侵入経路に

今回の発表は、Fireworksが2026年10月9日に最初に公表した通知の内容を補足するものだ。2026年10月6日、同社は社内認証情報が不正に使用されたことを確認し、封じ込めに着手した。不正な第三者は、限られた数の顧客アカウントで、評価ジョブに使用される環境変数にアクセスしていた。当時、Fireworksは、自社のセキュリティ境界または管理下にある顧客モデル、データセット、トレーニングデータ、個人情報、推論トラフィックへの不正アクセスを確認していなかった。

顧客への通知は2026年10月7日に始まった。Fireworksは10月9日に従業員のAPIキーをローテーションし、2026年10月10日には追加のユーザーキーを失効させ、サービスアカウントのトークンをローテーションした。その後の活動は別の経路をたどった。Fireworksの研究開発用マシンをホストするサードパーティーのクラウドプロバイダーで、2026年10月23日にセキュリティインシデントが発生した。

2026年10月24日、不正な第三者はこのインシデントを経路としてFireworksの開発用マシンに侵入し、不正なワークロードを実行した。その結果、追加で顧客データに影響が及んだ。Fireworksは同日、この活動を検知し、修復措置を講じるとともに、既知の重大な脆弱性を解消した。同社によると、2026年10月25日時点で、顧客が利用するプラットフォーム上において、攻撃者によるさらなる不正アクセスが成功した形跡は確認されていなかった。

データセット関連操作を一時的に制限

Fireworksは法執行機関に通知し、フォレンジック分析のためにPalo Alto Networks Unit 42に調査を依頼した。同社の対応には、認証情報とサービスアカウントの失効・交換、不要な高権限の削除、不正なネットワーク経路の制限、影響を受けたシステムの隔離、ストレージシステムと分析システムへのアクセス制限の強化、ログ記録と監視の強化が含まれる。

顧客向けの一部機能も制限されている。調査の継続中、Batch Inferenceとデータセットを使ったトレーニングで利用する、セルフサービスによるデータセットのアップロードとダウンロードは無効化されている。Training SDKは引き続き利用でき、データ保持はゼロとなっている。つまり、トレーニングデータは保存状態で保管されない。Fireworks Labを使ったトレーニングは、ネットワークとストレージに追加の保護を施した隔離環境で実施される。

Inference、Training SDK、Nexusについては影響が確認されていない。これらはいずれもデフォルトでデータを保持しないが、この確認結果は現時点までの調査に限られる。Fireworksのデータセキュリティに関する文書によると、ユーザーが明示的にオプトインしない限り、オープンモデルの推論におけるプロンプトと生成結果は記録も保存もされない。Nexusはプロンプト、応答、コード、ツール呼び出し、トレースを保存しないが、サービスの運用に必要なサービスメタデータは保持し、30日後にその情報から個人を特定できないよう処理する。

Fireworksが以前、通知を受けた顧客に案内した対応策には、失効したFireworks APIキーの交換、特定されたサードパーティーの認証情報の発行元でのローテーション、関連するログとデータの確認、見覚えのないキー、ユーザー、評価担当者、トレーニングジョブ、データセットの確認が含まれていた。保存済みのシークレットを削除しただけでは、元のサードパーティー認証情報は無効にならない。

LLMジャッキングの転売市場

Fireworksは、同社の証拠から、金銭的利益を目的とするサイバー犯罪グループが、不正なルーティングゲートウェイを通じて不正に取得したLLMへのアクセスを販売しようとしていることが示されていると述べた。この活動はLLMジャッキングとして知られる。同社は、Google Threat Intelligence GroupとMandiantによる2026年11月2日の調査を引用した。同調査では、LLM Mixersを、不正に取得したモデルへのアクセスをプロキシし、集約して、アンダーグラウンドの加入者に再販売する違法なゲートウェイと説明している。一部の活動では、最初の侵害と、その後の収益化が別々の主体によって行われる。

研究者らによると、Mandiantが別途実施した複数の調査では、個別のインシデントにおいて、不正なリソース消費による請求額が単日で10万ドルを超えた例が確認され、また一部の組織ではアクセスが失効される前に累計100万ドルに達していた。これらの金額はより広範な調査の結果を示すものであり、Fireworksの損失を示すものではない。これらの事例では、窃取または流出したクラウドIDトークンが、初期アクセスに使われた最も一般的な手段だった。

研究者らは、シークレットの一元管理、最小権限でのアクセス、定期的な設定監査、支出管理に加え、盗まれた認証情報を検証できる一方で、量に基づくアラートを作動させない可能性のある、異常な少量リクエストの監視を推奨している。Fireworksによる認証情報の再発行、権限の縮小、監視の拡充は、こうした防御上の優先事項のいくつかに沿うものだ。一方、今回の更新では、開発用マシンやサードパーティーのインフラをめぐるリスクも明らかになった。

Fireworksの顧客に対する対応は、現在、キーの再発行にとどまらず、請求情報の確認、さらに対象を限定した顧客グループについては、データセットや未完成のモデル資産の確認にも及んでいる。データセットの転送が引き続き無効化され、調査が継続するなか、今回のインシデントは、開発環境の侵害がAI資産の流出と、それらの構築に用いるワークフローの中断の両方につながったことを示している。