Взлом Fireworks AI: утекли переписки клиентов Notion

Fireworks AI — платформа, через которую тысячи компаний запускают открытые модели, — подтвердила взлом. Атакующие через облачного провайдера Fireworks попали в её систему разработки и получили доступ к данным клиентов: платёжной информации, наборам данных и, как подтвердила Notion, перепискам пользователей Notion AI. По оценке Fireworks, цель хакеров — перепродажа доступа к языковым моделям.

Это второй инцидент у Fireworks за два месяца. История показывает, насколько много ценных данных собирается у посредников инференса и почему ключи доступа к моделям стали товаром на чёрном рынке. Ниже — что известно о взломе и как защитить свои ключи.

Что произошло

По данным TechCrunch и раскрытиям компаний:

Среди клиентов Fireworks — десятки тысяч компаний, включая Harvey и Cursor. Директор Hugging Face по политике Ирен Солайман, ссылаясь на раскрытие Fireworks, упоминает также доступ к весам моделей клиентов. Fireworks временно отключила часть функций самостоятельной работы с наборами данных, пока идёт расследование.

Что именно утекло у Notion

Notion сообщила, что Fireworks предупредила её об инциденте, а затем подтвердила кражу данных клиентов Notion. По словам Notion, утекли переписки пользователей функции Insights — «любой ввод модели или вывод модели, записанный в чат». Значительную часть данных, по оценке Notion, нельзя привязать к конкретному клиенту.

3 ноября Notion отключила свои системы от Fireworks, удалила данные, хранившиеся у Fireworks, и прекратила всякое соединение между сервисами.

Почему хакеры охотятся за доступом к моделям

Fireworks считает, что атакующие хотели продавать доступ к языковым моделям. Схема известна: украденные ключи и доступы перепродают тем, кто хочет пользоваться дорогими моделями за чужой счёт. Владелец ключа узнаёт о краже по счёту.

Это не единичный случай. Осенью атака на OpenCode была нацелена именно на сторонние API-ключи пользователей и, по словам Солайман, нанесла финансовый ущерб. О том, как крадут ключи и что об этом пишет Google, мы рассказывали в статье Крадут API-ключи: отчёт Google.

Почему посредники инференса — привлекательная цель

TechCrunch формулирует главный вывод: технологические компании зависят от других технологических поставщиков, и атака на одного перекидывается на его клиентов. Notion не взламывали напрямую — взломали её поставщика инференса, а того — через его облако.

У посредника собирается много ценного: ключи и учётные записи клиентов, наборы данных для дообучения, веса дообученных моделей, иногда — сами запросы и ответы. Чем больше клиентов у платформы, тем выгоднее её атаковать.

Почему это касается не только крупных компаний

Может показаться, что взлом инференс-платформы — проблема корпораций с миллионами пользователей. Но цепочка поставщиков есть у любого продукта с ИИ, даже у небольшого бота. Запрос проходит через ваш сервер, облако, шлюз или агрегатор, затем к вендору модели. Каждое звено хранит что-то своё и может быть взломано.

Небольшой команде не нужен отдельный отдел безопасности, чтобы снизить риск. Достаточно понимать, какие данные уходят в запросы, где лежат ключи и кто может ими воспользоваться. Большинство утечек ключей происходит не из-за сложных атак, а из-за ключа, забытого в репозитории или в файле настроек.

Что спросить у своего поставщика инференса

Если вы отправляете запросы к моделям через посредника — облако, агрегатор или шлюз, — стоит знать ответы на несколько вопросов:

1. Хранятся ли тексты запросов и ответов? Если да, то сколько и где.
2. Что хранится в журналах? Число токенов и стоимость — одно, полные тексты — другое.
3. Как защищены ключи? Можно ли создать несколько ключей, ограничить их и мгновенно отозвать.
4. Как вы узнаете об инциденте? Есть ли у поставщика обязательство сообщать клиентам.
5. Кто ещё обрабатывает данные? У посредника тоже есть свои поставщики — облака и вендоры моделей.

О том, как персональные данные соотносятся с отправкой текстов в модели, мы писали в статье Нейросети и персональные данные.

Как защитить свои API-ключи

Ключ к моделям — это деньги. Если его украдут, расход начнётся сразу. Правила, которые ограничивают ущерб:

• Отдельный ключ на каждый сервис и агента. Утечка одного ключа не затронет остальные, а по журналу сразу видно, откуда расход.
• Дневной лимит в рублях. Украденный ключ остановится на лимите, а не на нуле баланса.
• Хранение в секретах. Ключ не должен лежать в коде, в репозитории и в настройках агентов. Как ключи утекают через файлы настроек Claude Code, мы разбирали в статье Секреты в Claude Code.
• Регулярная замена. Hugging Face после взлома стала чаще менять административные токены: украденный ключ полезен меньше времени.
• Наблюдение за расходом. Резкий рост расхода ночью или в выходные — первый признак кражи.

В KeyDealer можно выпустить несколько ключей, поставить каждому дневной лимит в рублях и отозвать любой ключ в кабинете. Журнал ключа показывает каждый вызов с моделью, числом токенов и суммой, поэтому чужой расход заметен сразу. Подробно о хранении ключей — в статье Как хранить API-ключи, о лимитах — в статье Лимит расхода на ключ.

Как понять, что ключ украли

Кража ключа редко бывает заметна сразу. Признаки, на которые стоит смотреть в журнале расхода:

• вызовы моделей, которыми ваш продукт не пользуется, особенно самых дорогих;
• расход в часы, когда ваш сервис обычно молчит, — ночью или в выходные;
• резкий рост числа запросов без роста числа ваших пользователей;
• длинные запросы и ответы, непохожие на ваши типичные сценарии;
• срабатывание дневного лимита раньше обычного.

Для наблюдения достаточно раз в день смотреть сводку расхода по ключам или настроить уведомление о достижении части лимита. Чем короче время между кражей и реакцией, тем меньше ущерб.

Что делать, если ключ утёк

Порядок действий простой, главное — не откладывать:

1. Отозвать ключ. Сразу, не дожидаясь выяснения, как он утёк.
2. Выпустить новый. И положить его в хранилище секретов, а не туда, где лежал старый.
3. Найти источник утечки. Репозиторий, файл настроек агента, журнал сборки, переписка, сторонний сервис, которому вы передавали ключ.
4. Проверить остальные ключи. Если утёк файл настроек, в нём могли быть и другие секреты.
5. Посчитать ущерб. Журнал вызовов покажет, когда начался чужой расход и сколько он стоил.

Если ключ хранился у стороннего сервиса, который сообщил о взломе, замените его в любом случае — даже если сервис уверяет, что ключи не пострадали.

Что не отправлять в модели через посредников

Даже при надёжном поставщике разумно ограничивать то, что уходит в запросы:

• пароли, ключи и токены других сервисов — никогда;
• персональные данные клиентов — только если они нужны для задачи, и лучше в обезличенном виде;
• коммерческая тайна — только при понятных условиях хранения у поставщика.

Чем меньше чувствительных данных в запросах, тем меньше ущерб от любой утечки — у вас, у посредника или у вендора модели.

Чего мы не утверждаем

Мы опираемся на публикации TechCrunch и раскрытия Fireworks и Notion в их пересказе. Полный отчёт Fireworks о расследовании мы не видели.

Мы не знаем точного числа пострадавших клиентов Fireworks, кроме Notion.

Мы не утверждаем, что инцидент затронул других клиентов Fireworks, названных в публикациях. Компании этого не сообщали.

Что держать в голове

Взлом Fireworks AI через её облачного провайдера открыл доступ к данным клиентов, включая переписки около 1 % пользователей Notion AI. Это второй инцидент у Fireworks за два месяца.

Цель атакующих — перепродажа доступа к моделям. Ключи к моделям стали товаром, а посредники инференса — привлекательной мишенью.

Отдельные ключи, дневные лимиты, хранение в секретах и наблюдение за расходом ограничивают ущерб от кражи. Подробнее о сервисе — на странице о проекте, ключ — на keydealer.ru/login.