11月10日、BleepingComputerが「Fireworks AI discloses new breach after cloud provider hack」と題した記事を公開した。AIインフラ企業Fireworks AIが、サードパーティクラウドプロバイダーへの侵害を起点とした2度目のセキュリティインシデントを開示した。流出したデータには独自ファインチューニング済みのモデルウェイトまで含まれており、単なる認証情報漏洩とは質の異なる深刻な被害が明らかになっている。
サードパーティ経由で開発環境まで侵入
Fireworks AIは、MistralやMeta Llama、Google GemmaといったオープンソースAIモデルを、開発者が自前のインフラを意識せずに推論実行できるようにするプラットフォームだ。
今回の事件の経緯は次のとおりである。10月初旬、攻撃者が一部アカウントの環境変数に保存されていたAPIキーやトークン（シークレット）を窃取する第1のインシデントが発生した。Fireworksは法執行機関と顧客に通知し、侵害された認証情報を失効・差し替えた。
ところが、その対応中の10月23日に第2の侵害が発生した。Fireworksが利用していたサードパーティクラウドプロバイダーが攻撃を受け、翌24日には攻撃者がそこを踏み台としてFireworksの開発用マシンに到達。不正なワークロードを実行し、追加の顧客データへのアクセスに成功した。
Fireworksは同日中に活動を検知し、インシデントレスポンスを開始。10月25日以降は同プラットフォームへの不正アクセスの痕跡は確認されていないとしている。
流出したデータの範囲——モデルウェイトまで
今回の第2の侵害で攻撃者がアクセスしたデータは以下のとおりだ。
- リソースメタデータ：Fireworksのリソース識別子、表示名、説明、作成日時など
- 請求情報：請求先・配送先住所、請求・支払い履歴、アカウント残高、クレジット使用状況
- 一部顧客のモデルウェイトおよびデータセット（不完全な状態）
クレジットカード番号はFireworksが保存していないため、流出は免れた。
特に注目すべきはモデルウェイトの流出だ。企業が独自にファインチューニングしたモデルの重みは、学習コストや独自データを反映した知的財産であり、単なる認証情報の漏洩とは質が異なるリスクをはらんでいる。競合他社への情報流出や、悪意ある用途への転用といった二次被害も懸念される。
LLMJackingという攻撃の背景
Fireworksは第1のインシデントについて、攻撃者グループの動機を「LLMJacking（LLM乗っ取り）」と特定していた。LLMJackingとは、盗んだAPIキーを悪用して大規模言語モデルへの不正アクセスを行い、そのアクセス権を不正に利用・転売する手口だ。
この脅威の深刻さは数字でも裏付けられている。GoogleのThreat Intelligence Group（GTIG）とMandiantが発表したレポートによれば、LLMJacking攻撃によるクラウドAI利用料金の不正請求は最大100万ドルに達するケースもあるという。LLMJackingの手口や実態については、Mandiantが公開している関連レポートも参考になる。
Fireworksの対応と今後
今回の侵害を受けてFireworksが実施した対策は以下のとおりだ。
- 認証情報・サービスアカウントの失効と再発行
- 不正なネットワーク経路の遮断
- 影響を受けたシステムの隔離
- データストレージ・分析システムへのアクセス制限の強化
また、Palo Alto Networksのインシデントレスポンス部門である**Unit 42**と連携し、インシデントの全容調査と再発防止に取り組んでいるとしている。
今回のケースが示す教訓は明確だ。自社のセキュリティ対策がどれだけ堅牢であっても、サードパーティのクラウドプロバイダーが侵害されれば、そこを踏み台に自社の開発環境が突破されうる。AIインフラを他社に依存する企業にとって、サプライチェーンリスクの管理は避けて通れない課題となっている。クラウドプロバイダー選定における共有責任モデルの再確認や、シークレット管理のベストプラクティス徹底も、改めて重要性を増している。
詳細はFireworks AI discloses new breach after cloud provider hackを参照していただきたい。
