Fireworks 被黑，客户想搬家：零数据保留没护住模型权重

Fireworks 被黑了。

The Information 的 Stephanie Palazzolo 报道，这家高估值推理服务商已告知包括 Harvey 在内的客户，平台遭到黑客攻击，客户数据暴露。部分客户正在考虑把业务迁走。

Fireworks 属于企业跑开源模型和微调模型时会用到的那类平台。公司不必自己养 GPU，可以在它上面部署推理、做训练、接 API。它也是这波推理提供商里估值靠前的一家，所以这次事件的冲击不只在安全团队。

官方在 11 月 9 日更新了安全公告。时间线很清楚：10 月 23 日，一家托管 Fireworks 研发机器的第三方云厂商发生安全事件；10 月 24 日，未授权第三方借这条路径进入 Fireworks 开发机器，运行未授权工作负载，造成更多客户数据受影响。Fireworks 说当天检测到活动并做了处置，10 月 25 日之后没有再发现攻击者成功未授权访问客户使用的 Fireworks 平台。

New Fireworks Hack Threatens $1 Billion Business

受影响的数据分几类：资源元数据，比如 Fireworks 资源标识、显示名、描述、创建时间；账单信息，比如账单和收货地址、发票和付款历史、账户余额、信用使用情况。官方说支付卡号不由 Fireworks 存储，因此未受影响。对少数账户，公告还提到 secrets、数据集和不完整模型被访问。

这里有个容易被忽略的细节。公告明确说，未检测到对 Inference、Training SDK 和 Nexus 的影响，这三项默认零数据保留。也就是说，常规推理请求和训练 SDK 的数据保留策略没有被这次调查发现破口。但“零数据保留”管的是平台是否留存数据，不负责挡住开发机器和第三方云入口。客户真正会紧张的是后半句：某些客户的部分不完整模型权重和数据集被访问。

模型权重对做私有微调的团队意味着核心资产。哪怕是不完整权重，也不等于可以公开的配置单。数据集更直接，里面可能有业务语料、标注样本、评测集。公告同时说，作为响应，Fireworks 已禁用 Batch Inference 和基于数据集的训练所用的自助数据集上传下载，Training SDK 仍可用，且保持零数据保留。

攻击者的动机也被写出来了。证据指向一个财务动机的网络犯罪团伙，目标是把未授权访问大模型得到的 token 卖给非法路由网关。Google Threat Intelligence Group 和 Mandiant 在 11 月 2 日发过一篇关于 LLMJacking 上升的博客。简单说，偷到凭证后，攻击者可以跑模型、转卖 token、挖矿、勒索集群，或者把数据带走。回复里有网友说，这类事不止 Fireworks 一家，从 neocloud 到只有几张 GPU 的创业公司都出现过。

评论区的分歧也值得看。有人觉得客户迁走是反应过度，毕竟现在每个平台都有安全风险。有人反问，换一家就能保证以后不被黑？也有人追问，客户 API key 或推理数据到底有没有暴露。还有网友质疑，没有公开日志和证据，这类报道很难验证。另一派则把方向指向端到端加密推理和安全飞地：如果数据在 enclave 内处理，平台被黑也不至于直接拿到明文。

这些争论不会改变一个事实：安全承诺要拆开看。零数据保留、SOC 2、ISO 认证都是重要信息，但它们回答的问题不同。客户现在考虑迁移，说明信任成本已经进了采购决策。对平台来说，公告里写“未检测到影响”只是调查阶段性结论；对客户来说，模型权重和数据集被碰过，才是需要重新评估的边界。

来源：