Как следует из официальных заявлений Notion, скомпрометированные логи чатов включают любые входные и выходные данные моделей, отправленные в интерфейс сервиса. Это подтверждает масштабы кибератаки, затронувшей AI-инфраструктуру компании. Сервис для ведения заметок и совместной работы с документами Notion опубликовал предупреждение после того, как облачная платформа Fireworks AI подверглась нападению, в результате которого злоумышленники получили доступ к системам разработки и базам клиентов. Согласно внутренней документации, Fireworks AI предоставляет инфраструктуру десяткам тысяч заказчиков по всему миру для запуска открытых моделей искусственного интеллекта — среди ее клиентов числятся юридический стартап Harvey и разработчик AI-инструментов Cursor. Руководителям компаний теперь предстоит оценить реальные риски безопасности, возникающие при передаче пайплайнов инференса критически важных корпоративных приложений сторонним поставщикам.
Аутсорсинг инфраструктуры инференса переносит операционные риски безопасности непосредственно в цепочку поставок программного обеспечения, превращая интеграционные шлюзы третьих сторон в векторы для эксфильтрации данных. В данном случае злоумышленник скомпрометировал облачного провайдера, услугами которого пользовалась Fireworks AI, и получил несанкционированный доступ к среде разработки. Оказавшись внутри, киберпреступники похитили платежную информацию клиентов Fireworks AI и отдельные наборы данных. Представители Notion подтвердили, что Fireworks сначала уведомила компанию об инциденте, а затем зафиксировала факт хищения данных пользователей Notion.
Компрометация уровня инференса
Для Notion прорыв периметра защиты быстро отразился на конечных пользователях. Инцидент затронул около 1% клиентской базы сервиса, поставив под удар логи чатов пользователей Notion AI, применявших функцию аналитики Insights.
Как заявили в Notion, украденные записи содержали любые входные и выходные данные моделей, отправленные пользователями в чат.
По данным Notion, значительная часть скомпрометированных материалов оказалась деперсонализированной — специалисты по безопасности не смогли сопоставить конкретные записи с профилями определенных клиентов. Чтобы остановить распространение угрозы, 3 ноября Notion отключила свои системы от Fireworks AI, удалила остаточные данные из ее инфраструктуры и полностью заблокировала каналы взаимодействия между организациями.
Монетизация вычислений и регулярные уязвимости
Может возникнуть вопрос: является ли атака на специализированного API-провайдера единичным инцидентом или же указывает на системную брешь всей инфраструктуры? Операционные реалии указывают на второй сценарий. Представители Fireworks AI подтвердили, что это уже второй инцидент за два месяца после октябрьского взлома систем безопасности.
Киберпреступники атакуют инфраструктуру инференса, чтобы собирать и монетизировать токены больших языковых моделей на теневых рынках.
По заявлению Fireworks AI, атакующие действовали из финансовых побуждений: их целью была перепродажа токенов, полученных через скомпрометированный доступ к большим языковым моделям. Подобная схема позволяет третьим лицам несанкционированно расходовать дорогостоящие мощности AI-моделей, не тратя собственные вычислительные или финансовые ресурсы. Произошедший инцидент наглядно демонстрирует, как уязвимости в специализированном хостинге инференса превращают среды разработки в инструмент спекуляции вычислительными мощностями, попутно раскрывая конфиденциальные данные корпоративных клиентов.
Смогут ли платформы хостинга открытых моделей убедить корпоративных заказчиков уровня Notion, Harvey и Cursor сохранить рабочие нагрузки в проде, когда систематические взломы раз за разом компрометируют платежные системы и логи чатов?
В чём смысл
Риск компрометации клиентских баз и перепродажи вычислений на стороне становится платой за экономию на собственном хостинге моделей: взлом Fireworks AI наглядно вскрыл уязвимость цепочки поставок. Пока крупные потребители вроде Notion спешно блокируют доступы и чистят следы, поставщики специализированного инференса демонстрируют системные дыры в защите собственных сред разработки. Если платформа ловит второй инцидент за два месяца, то разговоры о надежной изоляции открытых моделей теряют всякий смысл. Смогут ли Fireworks AI удержать оставшихся заказчиков вроде Harvey и Cursor, когда чужие запросы и платежные профили утекают на сторону ради спекуляции токенами?