Fireworks AI amplía la divulgación de la brecha de octubre a pesos de modelos y secretos

Fireworks AI actualizó su boletín de seguridad el 9 de noviembre de 2026 para revelar que una brecha originada en un proveedor de nube externo permitió a los atacantes acceder a sus sistemas de desarrollo, lo que expuso datos de facturación de todos los clientes afectados y, para un subconjunto limitado, pesos de modelos, conjuntos de datos y secretos incompletos, según el boletín October 2026 Security Incident Update.

Qué cambió en el boletín actualizado

• El boletín actualizado reemplazó una versión más acotada publicada por primera vez el 9 de octubre de 2026.
• Un proveedor de nube externo que alojaba las máquinas de investigación y desarrollo de Fireworks fue vulnerado el 23 de octubre de 2026, y los atacantes usaron ese acceso para llegar a los sistemas de desarrollo de Fireworks al día siguiente, el 24 de octubre.
• Fireworks no detectó más acceso no autorizado después del 25 de octubre de 2026.
• Los datos expuestos incluyeron metadatos de recursos (IDs, nombres, descripciones, marcas de tiempo) y datos de facturación (direcciones, historial de facturas y pagos, saldo de cuenta, consumo de créditos).
• Para un subconjunto limitado de cuentas de clientes, también se expusieron pesos de modelos, conjuntos de datos y secretos incompletos.
• Los números de tarjetas de pago no se almacenaban y no se vieron afectados; los productos Inference, Training SDK y Nexus de Fireworks operan con retención cero de datos por defecto y no se vieron afectados.

Qué significa para quienes construyen con IA

Fireworks es una plataforma de inferencia y ajuste fino muy utilizada por equipos que ejecutan modelos de pesos abiertos en producción, por lo que la exposición de pesos de modelos, conjuntos de datos o secretos de clientes es un riesgo directo para la cadena de suministro. Fireworks afirma que el motivo de los atacantes fue el "LLMjacking": revender acceso no autorizado a APIs de LLM mediante puertas de enlace ilícitas. Esta actualización es más amplia que la versión publicada un mes antes.

Respuesta y reportes relacionados

Fireworks dice que revocó y reemplazó credenciales, aisló los sistemas afectados y deshabilitó la carga y descarga autoservicio de conjuntos de datos durante la investigación. La empresa también contrató a Unit 42 de Palo Alto Networks. Por separado, Google y Mandiant publicaron un análisis relacionado sobre la actividad de LLMjacking el 2 de noviembre de 2026.

Fuentes

• October 2026 Security Incident Update (Fireworks AI, 9 de noviembre de 2026, oficial)

Redactado con ayuda de IA, únicamente a partir de las fuentes indicadas arriba. Antes de publicarse, controles automáticos verificaron sus fechas, sus fuentes y todas sus versiones de idioma.