Fireworks AI扩大数据泄露披露范围，涉及数据集与模型权重

事件经过

Fireworks AI于2026年11月9日扩大了对10月安全事件的披露范围，称攻击者访问了账户和账单信息，并且对一小部分客户而言，还访问了密钥、数据集以及不完整的模型权重。2026年10月6日，该公司发现内部凭证被未经授权使用，并开始进行遏制。

在当时阶段，Fireworks尚未发现在其安全边界或控制范围内存在对客户模型、数据集、训练数据（即构建模型所用的材料）、个人信息或推理流量的未经授权访问。客户通知于2026年10月7日开始发送。

这家AI基础设施提供商最初将该事件描述为内部凭证被未经授权使用。受影响的内部应用程序可访问资源元数据，包括标识符、显示名称、描述和创建时间。

账单信息涵盖账单和收货地址、发票与付款记录、账户余额及信用额度使用情况。Fireworks不存储支付卡号，因此支付卡号未受影响。

数据受影响的客户正在收到针对其账户的具体细节和建议应对措施，正在进行的调查可能会产生更多发现。开发机器提供了另一条攻击路径。此次更新超出了Fireworks于2026年10月9日发布的原始公告的范围。

未经授权的一方访问了少数客户账户中用于评估任务的环境变量。Fireworks于10月9日轮换了员工的API（一种软件之间相互通信所用的接口）密钥，并于2026年10月10日撤销了其他用户密钥，并轮换了服务账户令牌。