警惕AI資安風險：Fireworks AI資料外洩波及模型權重與訓練資料

美國人工智慧新創公司 Fireworks AI 於今日（11月10日）進一步擴大揭露其十月份發生的安全事件，證實除了帳戶與帳單資訊外，部分客戶的機密、資料集（用於訓練AI模型的大量數據）及不完整的 AI 模型權重（指AI模型在訓練過程中學習到的數值參數，它們決定了模型的行為和表現）也遭到未經授權的存取，再次凸顯AI領域面臨的嚴峻資安挑戰。

根據 Fireworks AI 於今日更新的聲明指出，駭客自十月份的安全事件中，已存取客戶的帳單地址、發票與付款紀錄、帳戶餘額以及信用額度使用狀況等資訊。不過，Fireworks AI 不儲存信用卡號碼，因此信用卡資料未受影響。公司已針對受影響的客戶提供帳戶專屬細節與建議應對措施。

這起事件最初追溯至 2026年10月6日，當時 Fireworks AI 發現內部憑證遭到未授權使用，隨即展開遏制行動，並於 10月7日開始通知客戶。最初的揭露聲明並未偵測到客戶模型或資料集有任何未經授權的存取。然而，駭客於 10月24日利用其第三方雲端供應商在 10月23日發生的安全事件，成功入侵 Fireworks AI 的開發機器，並執行未經授權的工作負載，導致更多客戶資料受影響。

Fireworks AI 已向執法單位通報，並委託資安公司派拓網路（Palo Alto Networks Unit 42）進行鑑識分析。公司內部已採取多項補救措施，包含撤銷並更換憑證與服務帳號、移除不必要的特權、限制未經授權的網路路徑、隔離受影響的系統，並加強儲存與分析系統的存取控管與監控。

此次事件被認為與名為「LLMJacking」的金融犯罪活動有關，駭客透過非法途徑轉售未經授權的大型語言模型（LLM）存取權限獲利。Google Threat Intelligence Group 和 Mandiant 於 11月2日發布的研究報告指出，這類利用「LLM Mixers」的詐欺性資源消耗費用，單日可高達 10 萬美元，部分組織的累計損失甚至達到 100 萬美元。