Fireworks AI amplia il data breach: esposti dati di fatturazione, dataset e pesi di modelli

Fireworks AI, una delle piattaforme più usate per far girare modelli open source in produzione, ha aggiornato il 9 novembre 2026 il bollettino sull’incidente di sicurezza emerso a ottobre. Il quadro è peggiore di quello comunicato all’inizio: oltre ai segreti usati nei job di valutazione, per un gruppo limitato di clienti sono stati raggiunti anche dataset e pesi incompleti di modelli, oltre a dati di fatturazione e metadati delle risorse.

Se usi Fireworks, direttamente o tramite un prodotto che ci si appoggia, vale la pena leggere con attenzione questo articolo.

Che cosa è successo, in ordine cronologico

La vicenda parte all’inizio di ottobre, quando l’azienda ha individuato un uso non autorizzato di credenziali interne. In quella prima fase, secondo il bollettino originale pubblicato il 9 ottobre, l’accesso riguardava le variabili d’ambiente usate nei job di valutazione di un numero limitato di account. Nessuna traccia, in quel momento, di accessi a modelli, dataset, dati di addestramento o traffico di inferenza. Fireworks ha ruotato le chiavi dei dipendenti, revocato altre chiavi utente e rinnovato i token degli account di servizio.

Il secondo atto arriva due settimane dopo. Il 23 ottobre un fornitore cloud terzo, che ospitava alcune macchine di ricerca e sviluppo di Fireworks, ha segnalato un proprio incidente di sicurezza. Il giorno dopo, il 24 ottobre, chi aveva violato quel fornitore ha usato l’accesso per raggiungere le macchine di sviluppo dell’azienda e lanciare un carico di lavoro non autorizzato. Fireworks sostiene di averlo rilevato lo stesso giorno, di aver rimediato e di aver chiuso le vulnerabilità critiche note.

Il 25 ottobre l’azienda ha dichiarato di non aver visto altri accessi riusciti alla piattaforma usata dai clienti. L’aggiornamento del 9 novembre allarga invece il perimetro di ciò che era stato toccato.

Quali dati sono stati coinvolti

Il bollettino distingue tra due livelli di impatto. Il primo riguarda dati che, nella versione aggiornata, risultano accessibili in modo più ampio.

Metadati e fatturazione

Sono stati raggiunti i metadati delle risorse, cioè identificatori, nomi visualizzati, descrizioni e date di creazione, e le informazioni di fatturazione: indirizzi di fatturazione e spedizione, storico di fatture e pagamenti, saldo del conto e consumo di crediti. Fireworks precisa che i numeri delle carte di pagamento non sono stati coinvolti, perché non li conserva.

Sembrano dati di contorno, ma non lo sono: uno storico di consumi e fatture racconta molto su come un’azienda usa l’AI, e può alimentare phishing mirato.

Segreti, dataset e pesi incompleti

Il secondo livello è il più delicato. Per un gruppo limitato di account sono stati raggiunti segreti, dataset e pesi di modelli incompleti. L’azienda non ha pubblicato né il numero di clienti coinvolti né l’elenco dei modelli interessati, e parla di impatti specifici per ciascun account. In pratica, non aver ricevuto una comunicazione non è una garanzia assoluta, anche se Fireworks dice di notificare individualmente i clienti toccati.

Restano fuori, almeno finora, i percorsi a conservazione zero dei dati: Inference, Training SDK e Nexus, che per impostazione predefinita non trattengono dati, non mostrano impatti rilevati. L’azienda ricorda però che si tratta delle conclusioni dell’indagine fino a questo momento.

Il contesto: LLMjacking e rivendita di accessi rubati

Fireworks collega l’attività a un gruppo con motivazioni economiche che vende accessi non autorizzati a modelli linguistici attraverso gateway di instradamento illeciti. Il fenomeno ha un nome, LLMjacking, ed è stato descritto il 2 novembre dalle ricerche di Google Threat Intelligence Group e Mandiant, che l’azienda cita nel suo aggiornamento.

Secondo quelle ricerche, i rivenditori di accessi rubati, chiamati “LLM Mixers”, hanno generato in alcuni casi addebiti fraudolenti superiori a 100.000 dollari in un solo giorno e fino a un milione di dollari cumulati presso alcune organizzazioni. Sono cifre che arrivano da altre indagini e non riguardano direttamente Fireworks, ma spiegano perché i token e le chiavi cloud siano diventati un bersaglio così appetibile.

Il punto è semplice: una chiave API per modelli di frontiera vale denaro, e chi la ruba la rivende o la consuma a spese tue.

Come ha risposto Fireworks

L’azienda ha avvisato le forze dell’ordine e ha coinvolto Palo Alto Networks Unit 42 per l’analisi forense. Ha revocato e sostituito credenziali e account di servizio, tolto privilegi elevati non necessari, limitato i percorsi di rete non autorizzati, isolato i sistemi interessati e rafforzato log e monitoraggio, con controllo continuo.

C’è anche una misura che si nota subito se usi la piattaforma: caricamento e scaricamento self-service dei dataset sono stati disattivati per Batch Inference e per l’addestramento basato su dataset, finché l’indagine non sarà conclusa. Il Training SDK resta disponibile con conservazione zero dei dati e le sessioni di Fireworks Lab girano in un ambiente isolato.

Il bollettino ammette che l’indagine è ancora in corso e che potrebbe far emergere altre informazioni. È un’ammissione corretta, ma significa che il bilancio finale non è ancora stato scritto.

Perché questa storia riguarda tutto il settore

Fireworks è un’infrastruttura, non un chatbot. Quando un fornitore di inferenza finisce in un incidente, il rischio si propaga ai prodotti costruiti sopra di lui: strumenti per sviluppatori, agenti, applicazioni verticali. È la stessa dinamica della catena di fornitura software, applicata ai modelli.

La società era salita alla ribalta per un grande round di finanziamento, che avevamo raccontato nell’articolo su Fireworks AI e i suoi 1,5 miliardi di dollari per l’inferenza. Crescita rapida e superficie d’attacco in espansione vanno spesso insieme, e questo caso lo ricorda bene.

C’è poi un secondo piano di lettura, quello dell’AI usata per attaccare e per difendere. Sul fronte difensivo abbiamo seguito iniziative come la partnership tra OpenAI e Hacktron per cercare vulnerabilità, mentre sul versante dei rischi concreti vale la pena rileggere il post-mortem di Anthropic su Mythos 5 e l’attacco a GitHub. Messi insieme, raccontano un settore in cui gli strumenti sono sempre più potenti e le basi operative non sempre altrettanto solide.

Che cosa fare se usi Fireworks

Il bollettino ufficiale dice che i clienti ricevono azioni di risposta consigliate via email, senza elencarle nella pagina pubblica, e rimanda a security-notice@fireworks.ai per i dettagli. Per il resto, ti conviene ragionare con un minimo di igiene di sicurezza, che è un consiglio nostro e non una prescrizione dell’azienda.

Prima di tutto controlla la casella email del tuo account e cerca una notifica individuale. Poi sostituisci le chiavi API di Fireworks revocate, in ogni punto in cui compaiono: pipeline di integrazione continua, file di configurazione, ambienti degli agenti. Se hai salvato segreti di terze parti sulla piattaforma, ruotali direttamente presso chi li ha emessi, perché cancellare un segreto archiviato non invalida la credenziale originale.

Infine guarda i registri: chiavi, utenti, valutatori, job di addestramento e dataset che non riconosci, e consumi di crediti o fatture anomali. Imposta limiti di spesa per chiave e assegna a ciascuna solo i modelli di cui l’ambiente ha bisogno.

Se hai caricato dataset o pesi personalizzati, trattali come sensibili e considera la possibilità che copie parziali siano state lette, soprattutto se hai ricevuto la notifica.

Conclusioni

Il caso Fireworks mostra che l’incidente iniziale, spesso, è solo la parte visibile: la seconda ondata, passata dal fornitore cloud, ha ampliato l’impatto in modo che nessuno poteva prevedere a ottobre. Il messaggio per chi costruisce prodotti AI è di non delegare ciecamente la sicurezza a chi ospita i modelli, di tenere pochi segreti a lunga durata in giro e di prepararsi a ruotare le chiavi in poche ore.

Seguiremo gli aggiornamenti dell’indagine man mano che arrivano. Nel frattempo, controlla le tue chiavi oggi stesso, e se vuoi capire come tenere il passo sui rischi dell’AI, resta sulla nostra sezione dedicata a privacy e sicurezza.

Fonte primaria: bollettino di sicurezza aggiornato di Fireworks AI.