要点
- Fireworks AI は、10月の侵害が当初の説明より広がり、請求情報や、一部の顧客のデータセット・未完成のモデルの重みにも及んだと11月9日に更新した。
- Fireworks は、お金目当ての犯罪グループが、盗んだ AI 利用権を転売するために動いたとみている。持ち主の請求書に化けるおそれがある。
- 通知を受けた利用者は、APIキーなどの入れ替えと、請求・利用履歴の確認を急ぐ必要がある。
何が起きたか
Fireworks AI は、AI モデルを動かしたり学習させたりするサービスを出している米国の会社だ。The Record によると、顧客は1万社を超える。
1回目（10月）。 Fireworks の発表によると、10月6日に社内の認証情報が不正に使われたことを見つけた。評価ジョブの環境変数、つまり一部の顧客アカウントに保存された API キーなどの「秘密情報」が取られたという。10月9日の初報の時点では、顧客のモデル、データセット、学習データ、個人情報への不正アクセスは確認していないと説明していた。
2回目（10月23〜24日）。 11月9日の更新で、状況が変わった。Fireworks によると、研究開発用のマシンを預けていた外部のクラウド事業者（社名は非公開）が10月23日に攻撃された。翌24日、侵入者はその経路で Fireworks の開発用マシンに入り、許可のない処理を走らせた。Fireworks は同日これを検知した。
更新で認められた影響は次のとおりだ。
- 限られたアカウントの秘密情報
- 一部の顧客の、データセットと未完成のモデルの重みの一部
- 請求先・送付先の住所、請求書と支払いの履歴、残高、クレジット使用量
- 資源の名前や作成日時などのメタデータ
カード番号は保存しておらず、影響はないと Fireworks は述べている。推論（モデルへの問い合わせ）、Training SDK、Nexus には影響を確認していないが、調査は続いている。影響を受けた顧客の数は公表されていない。
誰の仕業か。 Fireworks は、お金目当ての犯罪グループとみている。盗んだ AI の利用権を、違法な中継サービスに売るグループだという。これは「LLMjacking」と呼ばれる手口だ。持ち主のアカウントで AI を使われ、費用は持ち主に回る。グループ名は出ていない。なお、Fireworks の発表は Google の報告書に直接つながるとは書いていない。Google は別に、この種の被害が1日10万ドル超、累計100万ドルに達した例があると報告している。
Notion への波及。 Fireworks を使っていた Notion も影響を受けた。Notion の advisory によると、Fireworks から11月2日の夜に一部のデータへの不正アクセスを、11月6日に顧客データが見られた可能性を伝えられた。11月8日には、Fireworks が新しいデータセットの存在を Notion に確認した。その中に、Insights 機能に使う Notion AI のチャット記録があった。多くは、書いた人や workspace に結びつかない形だという。影響は workspace の1%未満としている。Notion は Insights を止め、Fireworks 経由のオープンウェイトモデルの提供もやめた。
前回からの変化。 今回の更新は、Fireworks 自身の発表で次の3点が広がった。(1) 秘密情報だけでなく請求情報に及んだ。(2) データセットと重みの一部にも及んだ。(3) 外部クラウド事業者という別の入り口が出た。The Register によると、CEO の Lin Qiao は、攻撃者の狙いは重みではないようで、ダウンロードの多くは途中で止まったと述べている。これは本人の見方で、確認された事実ではない。
日本の利用者への影響
日本の利用者や組織への影響は、一次情報では示されていない。Fireworks は世界中の開発者に使われていると Notion は説明しており、日本の企業が API で使っている可能性はある。自社の利用の有無は、社内の開発チームに確かめるとよい。Notion は日本でも広く使われているが、Notion の発表は影響を workspace の1%未満としており、日本の件数は出ていない。
今すぐやること
- Fireworks を使っているか、開発・データ担当に確かめる。使っているなら、Fireworks からの通知メールの有無を見る。
- 通知が来ているなら、Fireworks が勧めるとおり、失効した API キーを作り直し、アプリ側を更新する。
- Fireworks に預けていた他社サービスの認証情報は、その発行元で新しいものに替える。Fireworks は、預けた秘密情報を画面から消しても、元の認証情報そのものは使えなくならないと注意している。
- 請求額、残高、クレジットの減り方に、心当たりのない動きがないか見る。知らない API キーや学習ジョブなどを見つけたら、Fireworks に連絡する。通知が来ていなくても同じだ。
- Notion の利用者は、Notion AI に貼ったパスワードや API キーがあれば入れ替える。通知を受けた workspace は、メールの手順で内容を確かめる。
背景
AI の利用権をねらう盗みは増えている。Google Threat Intelligence Group と Mandiant は11月2日、2026年の LLMjacking の報告を出した。盗まれたクラウドの認証情報や API キーが主な入り口で、盗んだキーを束ねて安く転売する業者もあるという。今回のように、AI 基盤の会社の側に保存された秘密情報が狙われると、利用者は自分の落ち度がなくても被害を受けうる。
技術者向けの詳細
- Fireworks の更新 bulletin（11月9日）: 自己サービスのデータセットのアップロード・ダウンロード（Batch Inference と、データセットを使う学習）を調査中は停止。Training SDK は ZDR（プロンプトや出力を保存しない）のまま利用可。
- 侵害の指標（IoC）は Fireworks から公開されていない。キーの指紋は、影響を受けた顧客に安全な経路で提供される。
- 初報の時系列（PDT）: 10/6 9時に検知、10/7 7時に通知開始、10/9 に社員の API キーを入れ替え。
- 連絡先: 通知メールへの返信、または security-notice@fireworks.ai（更新版の記載）。
- Google/Mandiant が勧める対策: キーのモデル・環境・利用量での範囲限定、支出上限と予算アラート、LLM サービスの有効化の監視、データプレーンのログ有効化。あわせて、秘密情報やキーの管理を自動化すれば、漏れた認証情報の有効期間を限れるとしている。
- Google が挙げた LLMjacking 関連のドメイン: jet-night.com、newapi.pro（Fireworks の件との関係は発表されていない）。
