Die Inferenzplattform für Open-Source-Modelle Fireworks hat am Montag bestätigt, dass es zu einem weiteren Einbruch gekommen ist, bei dem Abrechnungsinformationen, Modellgewichte und Datensätze einiger Kunden abgeflossen sind. Berichten zufolge hatte Fireworks bereits in der vergangenen Woche mehrere Großkunden wie Harvey über den Vorfall informiert, der schwerer wiegt als der im Oktober. Gemeinsam mit Unit 42 von Palo Alto Networks untersucht das Unternehmen den Fall derzeit.
Ein Sprecher von Fireworks erklärte, man nehme den Vorfall „sehr ernst“, stehe in direktem Kontakt mit Kunden und prüfe gemeinsam mit Unit 42 die Ursachen und härte die Systeme. Ein Sprecher des Legal-AI-Unternehmens Harvey erklärte, die Kundendaten von Harvey seien von dem Vorfall nicht betroffen.
Notion, Vercel und Cursor nutzen die Dienste von Fireworks. Ob sie selbst oder die Daten ihrer Endnutzer betroffen sind, ist bislang unklar; keines der Unternehmen hat sich öffentlich geäußert.
Der zweite Vorfall innerhalb eines Monats
Legt man die Chronologie nebeneinander, ist es der zweite Vorfall bei Fireworks binnen eines Monats.
Am 6. Oktober entdeckte Fireworks, dass jemand mit gestohlenen internen Zugangsdaten die Umgebungsvariablen von Evaluierungsjobs in einer „begrenzten Anzahl“ von Kundenkonten ausgelesen hatte, darunter als Secrets hinterlegte API-Schlüssel und Tokens von Drittanbietern. Am Abend des 9. Oktober veröffentlichte das Unternehmen eine Sicherheitsmitteilung, am Folgetag widerrief es eine Reihe von Nutzer-API-Schlüsseln und rotierte die Tokens der Servicekonten. In der damaligen Mitteilung hieß es unmissverständlich:
“we have not detected evidence of unauthorized access to customer models, datasets, training data”
(Wir haben keine Hinweise auf unbefugten Zugriff auf Kundenmodelle, Datensätze oder Trainingsdaten festgestellt.)
Einen Monat später tauchen Modellgewichte und Datensätze auf der Liste der abgeflossenen Daten auf. Ob die beiden Vorfälle zusammenhängen, kann Fireworks nach eigenen Angaben derzeit nicht sagen. Die Mitteilungsseite zum Oktober-Vorfall steht auf dem Stand des Updates vom 10. Oktober mit dem Status „laufende Überwachung“; zum Redaktionsschluss war der Vorfall vom November dort nicht nachgetragen.
Nicht nur eine Plattform betroffen
Beim Einbruch im Oktober stand Fireworks nicht allein da. Der Cloud-Sicherheitsanbieter Wiz bezeichnete diese Welle in seinem Bericht vom 30. Oktober als „Schwarzen Oktober“ der KI-Entwicklerplattformen: Zunächst waren neun Plattformen aufgeführt, darunter Fireworks, Railway, Warp und Lightning AI; im Update vom 10. November ist die Zahl auf 16 Plattformen gestiegen, die Sicherheitsvorfälle offengelegt haben, darunter Brev, das zu NVIDIA gehört.
Die Gemeinsamkeit, die Wiz herausarbeitet: Die Angreifer durchsuchen gezielt Umgebungsvariablen nach Schlüsseln, vor allem nach solchen, mit denen sich KI-Dienste aufrufen lassen. Haben sie einen Schlüssel, prüfen sie ihn zunächst mit einer Testanfrage, nutzen ihn dann über einen Proxy-Pool in großem Umfang und versilbern ihn schließlich über Wiederverkaufskanäle. In der Branche nennt man dieses Abgreifen von Modellkontingenten LLM-Hijacking. In einem von Wiz genannten Fall wurde ein abgeflossener Schlüssel binnen rund 30 Stunden etwa 800.000-mal aufgerufen; in einem anderen Fall gab es in etwa 13 Stunden 1,7 Millionen Aufrufe. Zu Listenpreisen könnten beide Fälle zusammen über 100.000 US-Dollar ausmachen.
Berichten zufolge bringt Unit 42 den Angriff auf Fireworks mit einer Cyberkriminellen-Gruppe in Verbindung, die LLM-Hijacking betreibt. Diese Aussage stammt bislang nur aus Medienberichten; Unit 42 hat keinen öffentlichen Bericht veröffentlicht und auch nicht genannt, um welche Gruppe es sich handelt.
Finanzierungsfenster trifft auf Sicherheitsvorfall
Der Zeitpunkt ist für Fireworks denkbar ungünstig. Das 2022 gegründete Unternehmen erreichte im Juli einen auf das Jahr hochgerechneten Umsatz von 1 Milliarde US-Dollar bei einer Bewertung von 17,5 Milliarden US-Dollar; Insidern zufolge wollte es diese Woche eine neue Finanzierungsrunde mit einer Zielbewertung von mindestens 30 Milliarden US-Dollar starten.
Ebenfalls laut Insidern erwägen einige Großkunden, die jährlich mehrere Millionen US-Dollar auf der Plattform ausgeben, den Wechsel. Ob die Finanzierungsrunde verschoben wird und wie viele Kunden tatsächlich abwandern, dazu hat sich Fireworks nicht geäußert; diese Angaben lassen sich derzeit nicht überprüfen.
Für Nutzer gilt der Rat aus der Oktober-Mitteilung von Fireworks weiterhin: Wer einen gespeicherten Schlüssel in Fireworks löscht, macht den Schlüssel selbst noch nicht ungültig. Die Zugangsdaten von Drittanbietern müssen beim jeweiligen Anbieter rotiert und anschließend deren Zugriffsprotokolle geprüft werden.
Quellen: Sina Finance, Sicherheitsmitteilung von Fireworks, CocoLoop, Wiz-Sicherheitsforschungsbericht; geprüft wurden der Umfang der Datenabflüsse bei beiden Vorfällen, die Zahl der betroffenen Plattformen und die Aufrufzahlen beim Schlüsselmissbrauch; Umsatz- und Bewertungsangaben folgen der Darstellung in den Berichten.