Fireworks AI證實外洩範圍擴大；SGLang遠端執行漏洞波及NEAR AI
· 資安 · 美國
AI基礎設施新創Fireworks AI揭露一起新外洩事件，攻擊者在入侵一家第三方雲端供應商後，存取了其開發機器。該公司表示，對10月初首次通報事件的調查發現了更多惡意活動，影響帳戶與帳務資訊，以及少數帳戶的機密、資料集與未完成模型。另外，一名攻擊者利用開源推論引擎SGLang的遠端程式碼執行漏洞，在NEAR AI的一台推論伺服器上執行程式碼，可能看到當天處理的請求，包括以機密模式送出的請求；據報這起入侵從18個代理與約100名使用者竊取資料。這些事件凸顯持有模型權重與客戶資料的AI平台所面臨的風險。
為什麼重要：AI服務供應商因持有模型權重、訓練資料與機密使用者提示，正成為高價值目標，單一漏洞就可能波及眾多下游客戶。
重點
- Fireworks AI表示少數帳戶的帳戶、帳務、機密、資料集與未完成模型受影響。
- 此次外洩源於第三方雲端供應商遭入侵，並波及開發機器。
- SGLang漏洞讓攻擊者在NEAR AI伺服器上執行程式碼，並看到當天的請求。