Fireworks AI, Inc. が不正アクセス被害の更新情報を公表、開発環境を経由して顧客情報やデータセット等の流出が判明

Fireworks AI, Inc. は米国時間の2026年11月9日、同社システムに対する第三者による不正アクセスが発生した件に関して情報を更新し、顧客データや請求情報等が流出したことを公表しました。

同社は同年10月9日にセキュリティ速報を公表していましたが、今回の発表において、法執行機関への通報およびサイバーセキュリティ企業である Palo Alto Networks Unit 42 の支援を受けてフォレンジック調査を実施したことを明らかにしました。当初は保管されていたシークレット情報へのアクセスのみが判明していましたが、その後の調査によりアカウント情報や請求情報への影響が新たに確認されています。さらに、同社が研究・開発用の環境として利用している外部のクラウド事業者が10月23日にセキュリティインシデントを受け、翌24日に第三者が開発マシンを経由して不正なプログラムを実行したことを公表しています。

調査の結果、リソースのメタデータ、請求先住所や支払い履歴等の請求情報、ならびに一部顧客においては未完成のモデルの重みとデータセットへのアクセスが確認されました。なお、クレジットカード番号は同社で保持しておらず、デフォルトでデータ保持を行わない設定の各種主要サービスにおける影響も確認されていません。また、10月25日以降、顧客向けプラットフォームにおける不正アクセスの痕跡は検知されていないとしています。

今回の事象には、「LLMJacking」を目的とするサイバー犯罪グループの関与が示唆されています。これは、大規模言語モデルへの不正アクセスによって得たトークンを不正に流通させる手口です。

同社は、認証情報の失効と再発行、影響を受けたシステムの隔離、アクセス権限の厳格化等の措置を講じました。また、対象となる顧客への個別連絡を進めるとともに、セキュリティ体制の強化に努める方針を示しています。