A Fireworks AI ampliou o escopo de um incidente de segurança divulgado em outubro e confirmou uma segunda atividade maliciosa ligada a um provedor de nuvem terceirizado. O invasor alcançou máquinas de pesquisa e desenvolvimento da empresa e executou uma carga não autorizada que causou impacto adicional em dados de alguns clientes. A investigação encontrou exposição de metadados, informações de cobrança e, para um conjunto limitado de contas, segredos, datasets e pesos incompletos de modelos.
A empresa afirma que números de cartões não são armazenados e não foram afetados. Também não encontrou impacto nos serviços Inference, Training SDK e Nexus, configurados com retenção zero de dados por padrão. Ainda assim, o novo boletim muda bastante a leitura inicial. Em outubro, o caso parecia concentrado em credenciais internas e variáveis de ambiente usadas por trabalhos de avaliação. Agora existe uma segunda porta, aberta por um fornecedor, com alcance sobre máquinas de desenvolvimento e informações que valem mais do que uma simples lista de e-mails.
Do provedor de nuvem até as máquinas de desenvolvimento
Segundo a Fireworks, o terceiro provedor sofreu um incidente em 23 de outubro. No dia seguinte, o invasor usou esse acesso para chegar às máquinas de desenvolvimento e executar uma carga não autorizada. A atividade foi detectada em 24 de outubro, e a empresa diz ter fechado as vulnerabilidades críticas conhecidas. Desde 25 de outubro, não foram observadas novas evidências de acesso bem-sucedido à plataforma usada pelos clientes. A investigação segue em andamento com apoio da Unit 42, da Palo Alto Networks.
Esse encadeamento importa porque equipes de desenvolvimento costumam concentrar permissões, ferramentas e visibilidade que não existem em máquinas comuns. Um notebook ou ambiente de R&D pode acessar repositórios, painéis internos, artefatos de treinamento e serviços de análise. O fornecedor comprometido não precisa guardar o dado final para oferecer uma rota até ele. Segurança de cadeia de fornecimento é justamente essa coleção de caminhos indiretos que parecem periféricos até alguém percorrê-los.
LLMjacking transformou tokens em mercadoria
A Fireworks relaciona a atividade a um grupo financeiramente motivado interessado em LLMJacking. Nesse modelo, credenciais roubadas de plataformas de inteligência artificial são usadas ou revendidas para alimentar gateways clandestinos. O criminoso não precisa roubar um modelo inteiro; uma chave com limite generoso já permite consumir inferência paga por outra empresa, executar cargas próprias ou revender acesso barato. É a velha fraude de recursos em nuvem, agora com GPUs muito mais caras e nomes mais futuristas.
O custo não se limita à fatura. Tokens comprometidos podem dar acesso a endpoints, trabalhos, modelos privados ou dados associados, conforme as permissões concedidas. Por isso a resposta correta não é apenas trocar a senha da conta principal. É necessário revogar chaves, rotacionar credenciais de terceiros, revisar recursos criados, analisar logs e verificar se alguma integração continua usando um segredo antigo. Remover uma chave do painel da Fireworks não invalida automaticamente a credencial emitida por outro fornecedor.
Retenção zero ajuda, mas não resolve tudo
A arquitetura ZDR reduz o risco de prompts e respostas ficarem armazenados após o processamento, mas não é um escudo universal. Metadados, configurações, credenciais, datasets enviados deliberadamente e artefatos de treinamento obedecem a fluxos diferentes. A Fireworks desativou temporariamente uploads e downloads de datasets por autoatendimento em recursos de Batch Inference e treinamento baseado em datasets enquanto investiga. O Training SDK permanece disponível com retenção zero, e os treinamentos do Fireworks Lab operam em ambiente isolado.
A distinção evita duas conclusões ruins. A primeira seria afirmar que todo conteúdo processado pela empresa foi roubado; o boletim não sustenta isso. A segunda seria tratar ZDR como garantia de que nada sensível poderia ser acessado. Sistemas de IA têm múltiplas camadas, e cada camada guarda um tipo de informação. Privacidade de inferência, segurança da conta e proteção do ambiente de desenvolvimento são problemas conectados, não sinônimos.
Clientes afetados estão sendo notificados individualmente. Quem não recebeu aviso não precisa assumir comprometimento, mas deve aproveitar o episódio para revisar como as chaves são distribuídas e quais dados entram em plataformas externas. Se uma única credencial abre acesso amplo, duradouro e sem limites operacionais, o problema existe mesmo antes de alguém roubá-la. O incidente apenas troca a hipótese confortável por uma demonstração prática.
IA não aboliu os erros clássicos de segurança
O setor adora falar em modelos de fronteira, agentes e inferência confidencial, mas o invasor ainda avança por credenciais, privilégios excessivos e fornecedores comprometidos. A Fireworks foi transparente ao ampliar o escopo e detalhar limites do impacto. Agora vem a parte menos elegante: provar que as correções resistem ao tempo e que clientes não precisam confiar em boletins sucessivos para descobrir qual camada foi atingida desta vez.
