Fireworks AI bị tấn công hai lần, lộ dữ liệu khách hàng

Fireworks AI vừa công bố thêm một vụ tấn công mạng nữa trong tháng 10, đồng thời mở rộng phạm vi dữ liệu khách hàng bị ảnh hưởng, bao gồm hồ sơ thanh toán, bộ dữ liệu (dataset) và một phần trọng số mô hình (model weights) chưa hoàn chỉnh.

Công ty cung cấp nền tảng huấn luyện và chạy mô hình AI cho biết một nhà cung cấp dịch vụ đám mây (cloud) bên thứ ba vận hành các máy phục vụ nghiên cứu và phát triển đã bị xâm nhập vào ngày 23/10. Đến ngày hôm sau, kẻ tấn công lợi dụng quyền truy cập đó để vào hệ thống phát triển của Fireworks và chạy một khối lượng công việc (workload) trái phép.

Ba nhóm dữ liệu bị ảnh hưởng

Fireworks phân loại dữ liệu bị ảnh hưởng thành ba nhóm:

• Siêu dữ liệu tài nguyên (resource metadata): mã định danh tài nguyên, tên hiển thị, mô tả, thời điểm tạo và các thông tin tương tự.
• Thông tin thanh toán: địa chỉ thanh toán và giao hàng, lịch sử hóa đơn và thanh toán, số dư tài khoản, mức sử dụng tín dụng. Số thẻ thanh toán không được lưu nên không bị ảnh hưởng.
• Trọng số mô hình và bộ dữ liệu: với một số khách hàng nhất định, kẻ tấn công đã truy cập một tập con trọng số mô hình chưa hoàn chỉnh và bộ dữ liệu.

Nghi vấn liên quan đến LLMJacking

Fireworks cho rằng vụ việc có thể liên quan đến các nhóm tội phạm vì động cơ tài chính, hoạt động trong lĩnh vực LLMJacking — hình thức bán quyền truy cập trái phép vào các mô hình AI thông qua các cổng kết nối bất hợp pháp.

Lin Qiao, đồng sáng lập kiêm CEO của Fireworks, cho biết động cơ dường như không phải là đánh cắp trọng số mô hình: "Theo những gì chúng tôi quan sát, kẻ tấn công không nhắm đến trọng số. Phần lớn các lượt tải xuống chỉ là một phần và đã bị dừng lại."

Ảnh hưởng lan sang cả khách hàng của khách hàng

Anurag Goel, nhà sáng lập kiêm CEO của Render, đã chia sẻ thông báo từ Notion cảnh báo rằng một số cuộc trò chuyện với trợ lý AI của họ có thể đã bị lộ qua sự cố Fireworks.

Theo email gửi cho Goel, Notion xác định không gian làm việc (workspace) Render nằm trong số chưa tới 1% workspace có thể bị ảnh hưởng. "Một số phiên trò chuyện với Notion AI không thể quy trực tiếp về người dùng nào có thể đã bị lộ trong sự cố này."

Notion khẳng định các bản ghi hội thoại bị lộ không chứa thông tin riêng giúp liên kết chúng với người dùng hay workspace cụ thể. Tuy nhiên, như người dùng Reddit chỉ ra, bản thân nội dung cuộc trò chuyện vẫn có thể chứa các chi tiết nhận dạng.

Theo Bloomberg, Fireworks cũng đang phối hợp với các khách hàng như Cursor và Harvey để đánh giá tác động.

Biện pháp khắc phục

Bản cập nhật của Fireworks xác nhận công ty đã làm việc với nhóm Unit 42 của Palo Alto Networks để xử lý vụ tấn công, bao gồm xoay vòng thông tin xác thực (credential rotation), cô lập các hệ thống bị ảnh hưởng khỏi mạng và siết chặt quyền truy cập cùng hệ thống giám sát lưu trữ dữ liệu.

Bản cập nhật không nêu số lượng khách hàng bị ảnh hưởng trong cả hai vụ tấn công trong tháng 10. Trước đó, Fireworks lần đầu công bố sự cố vào ngày 9/10 sau khi phát hiện việc sử dụng trái phép thông tin xác thực nội bộ vào ngày 6/10. Khi đó, kẻ tấn công truy cập các biến môi trường (environment variable) trong các tác vụ đánh giá, bao gồm khóa API và token thuộc về một số khách hàng.

Vào thời điểm đó, Fireworks nói chưa tìm thấy bằng chứng về việc truy cập mô hình, bộ dữ liệu, dữ liệu huấn luyện, lưu lượng suy luận hay thông tin cá nhân. Bản cập nhật hôm thứ Hai đã mở rộng đáng kể phạm vi tác động được công bố.

Góc nhìn

Vụ việc cho thấy một mắt xích thường bị xem nhẹ trong chuỗi cung ứng AI: nhà cung cấp hạ tầng bên thứ ba. Chỉ cần một máy phục vụ R&D của đối tác cloud bị chiếm quyền, kẻ tấn công có thể chạm tới khóa API, dữ liệu và tài nguyên của nhiều khách hàng cùng lúc. Điều này đặc biệt đáng lo với các nền tảng cung cấp dịch vụ suy luận, vốn nắm trong tay khóa truy cập mô hình mà khách hàng tin tưởng giao phó.

Với doanh nghiệp và kỹ sư đang dùng dịch vụ AI qua bên thứ ba, bài học thực tế là phải rà soát lại phạm vi khóa API và token đã cấp, áp dụng nguyên tắc đặc quyền tối thiểu, và xây dựng quy trình xoay vòng thông tin xác thực định kỳ thay vì chờ đến khi có sự cố. Đồng thời, việc theo dõi và cô lập lưu lượng bất thường cũng nên được tính đến như một lớp phòng thủ mặc định khi phụ thuộc vào hạ tầng AI bên ngoài.