AI 前沿 · 每日整理
Fireworks 确认 LLMJacking 攻击泄露客户数据与模型权重
Fireworks AI 确认，今年 10 月的 LLMJacking 攻击泄露范围比最初披露的大得多：除评测任务环境变量里的 API 密钥外，还涉及客户的资源元数据、账单地址、发票与支付历史、账户余额，以及部分客户不完整的模型权重与数据集；银行卡号没有被存储，因而未受影响。
原文摘录
With support from Palo Alto Networks Unit 42, Fireworks found exposed resource metadata, billing addresses, invoice history, account balances and credit usage.（大意：在 Palo Alto Networks Unit 42 的协助下，Fireworks 发现泄露范围包括资源元数据、账单地址、发票历史、账户余额与额度用量。）
值得肯定
披露得够具体：哪些数据受影响、哪些没受影响（推理、训练 SDK 与默认零数据留存的 Nexus 未发现影响）都分开讲了，还请了 Palo Alto Networks 的 Unit 42 做取证。
需要注意
如果你在 Fireworks 上跑过评测任务或托管过模型权重，应立即轮换相关 API 密钥并检查账单异常；Mandiant 与谷歌威胁情报组 11 月 2 日的报告称，LLMJacking 受害者的账单最高可达 100 万美元。