ჰაკერები Fireworks AI-ში მესამე მხარის ღრუბლოვანი პროვაიდერის გავლით შეიჭრნენ და მომხმარებლების მონაცემები მოიპოვეს

Fireworks AI-მ უსაფრთხოების უფრო ფართო დარღვევის შესახებ განაცხადა: თავდამსხმელები მესამე მხარის ღრუბლოვანი პროვაიდერის გავლით კომპანიის სამუშაო მანქანებამდე მიაღწიეს და მომხმარებელთა ანგარიშების დეტალებზე, ბილინგის ჩანაწერებზე, მონაცემთა ნაკრებებსა და მოდელების არასრულ წონებზე მიიღეს წვდომა. კომპანიის თქმით, ინციდენტი 23 ოქტომბერს დაიწყო და მისი გავლენა გასცდა ოქტომბერში დაფიქსირებულ საიდენტიფიკაციო მონაცემების გაჟონვას. Fireworks-მა შეატყობინა დაზარალებულ მომხმარებლებსა და სამართალდამცავ ორგანოებს, გამოძიება კი გრძელდება.

როგორ განვითარდა ინციდენტი

Fireworks-ის თქმით, 23 ოქტომბერს უსაფრთხოების ინციდენტი დაემართა მესამე მხარის ღრუბლოვან პროვაიდერს, რომლის ინფრასტრუქტურაზეც კომპანიის კვლევისა და შემუშავების სამუშაო მანქანებია განთავსებული. 24 ოქტომბერს უნებართვო მხარემ ამ წვდომის გამოყენებით მიაღწია Fireworks-ის სამუშაო მანქანებამდე და გაუშვა უნებართვო სამუშაო დავალება, რის შედეგადაც დამატებითი მომხმარებლის მონაცემები გამჟღავნდა. Fireworks-ის თქმით, კომპანიამ ეს აქტივობა იმავე დღეს აღმოაჩინა, დაუყოვნებლივ მიიღო რეაგირების ზომები და დახურა ცნობილი კრიტიკული სისუსტეები. კომპანიას ღრუბლოვანი პროვაიდერის სახელი არ დაუსახელებია და კონკრეტული სისუსტეები არ გაუმჟღავნებია. 25 ოქტომბრის მდგომარეობით, Fireworks-ს მომხმარებელთა პლატფორმაზე თავდამსხმელის წვდომის სხვა წარმატებული შემთხვევა არ დაუფიქსირებია.

უფრო ადრეული ინციდენტი საიდენტიფიკაციო მონაცემებით

განახლებული განცხადება ეფუძნება ადრინდელ ინციდენტს, რომელიც 6 ოქტომბერს დაიწყო, როცა Fireworks-მა შიდა საიდენტიფიკაციო მონაცემების ბოროტად გამოყენება გამოავლინა. თავდამსხმელები მიაღწიეს გარემოს ცვლადებამდე, რომლებსაც შეფასების სამუშაოები იყენებდნენ, და შესაძლოა API-გასაღებები და ტოკენები ხელში ჩაუვარდათ. Fireworks-მა მომხმარებლებისთვის შეტყობინებების გაგზავნა 7 ოქტომბერს დაიწყო, მოგვიანებით კი გააუქმა დაზარალებული გასაღებები, თანამშრომლების საიდენტიფიკაციო მონაცემები და სერვისული ანგარიშების ტოკენები. კომპანიის თქმით, დაზარალებულ შიდა აპლიკაციაში ხელმისაწვდომი იყო რესურსების იდენტიფიკატორები, სახელები, აღწერები და შექმნის დრო.

რომელი მომხმარებლის მონაცემები დაზარალდა

გაჟონვაში მოხვედრილი ბილინგის ინფორმაცია მოიცავდა ბილინგისა და მიწოდების მისამართებს, ინვოისებს, გადახდების ისტორიას, ნაშთებსა და კრედიტის გამოყენებას. Fireworks-ის თქმით, კომპანია საბანკო ბარათების ნომრებს არ ინახავს და ეს ნომრები არ დაზარალდა. ზოგიერთი მომხმარებლის შემთხვევაში თავდამსხმელები მოდელების არასრული წონებისა და მონაცემთა ნაკრებების ნაწილზე წვდომა მიიღეს. განცხადება არ ადასტურებს სრული საწარმოო მოდელების მოპარვას. Fireworks-მა ასევე აღნიშნა, რომ არ დაფიქსირებულა ზემოქმედება Inference-ზე, Training SDK-ზე ან Nexus-ზე, რომლებიც ნაგულისხმევად მონაცემების ნულოვანი შენახვის რეჟიმში მუშაობენ.

რეაგირება და რეკომენდაციები

Fireworks-ის თქმით, მტკიცებულებები მიუთითებს ფინანსურად მოტივირებულ კიბერდამნაშავეთა ჯგუფზე, რომელიც ცდილობდა დიდ ენობრივ მოდელებზე უნებართვო წვდომის გაყიდვას უკანონო მარშრუტიზაციის გეითვეების მეშვეობით, რასაც LLMJacking ეწოდება. კომპანიამ შეატყობინა სამართალდამცავ ორგანოებს და ფორენსიკული მხარდაჭერისთვის მოიწვია Palo Alto Networks Unit 42. რეაგირების ღონისძიებები მოიცავს საიდენტიფიკაციო მონაცემების შეცვლას, გაზრდილი უფლებების შემცირებას, დაზარალებული სისტემების იზოლაციას და მონაცემთა საცავზე წვდომის გამკაცრებას. გამოძიების პერიოდში კომპანიამ გამორთო მონაცემთა ნაკრებების ატვირთვისა და ჩამოტვირთვის თვითმომსახურების ფუნქცია Batch Inference-სა და მონაცემთა ნაკრებებზე დაფუძნებულ ტრენინგში. Training SDK კვლავ ხელმისაწვდომია, ხოლო Fireworks Lab-ზე დაფუძნებული ტრენინგი იზოლირებულ გარემოში მიმდინარეობს, ქსელისა და საცავის დამატებითი დაცვით. Fireworks პირდაპირ ატყობინებს იმ მომხმარებლებს, რომელთა მონაცემებიც დაზარალდა. რეკომენდაციების თანახმად, დაზარალებულმა მომხმარებლებმა უნდა შეცვალონ გაუქმებული Fireworks-ის გასაღებები და განაახლონ გამჟღავნებული მესამე მხარის საიდენტიფიკაციო მონაცემები იმ პროვაიდერებთან, რომლებმაც ისინი გასცეს. შენახული საიდუმლოს წაშლა თავად საიდენტიფიკაციო მონაცემს არ აუქმებს. მომხმარებლებმა ასევე უნდა გადაამოწმონ წვდომის ჟურნალები, უცნობი მომხმარებლები, API-გასაღებები, ტრენინგის სამუშაოები და მონაცემთა ნაკრებები უნებართვო აქტივობის გამოსავლენად.

წყაროები: Cybersecuritynews · Fireworks Ai · Bloomberg · Forbes