Hack bei KI-Anbieter Fireworks: Kundendaten und Modellgewichte abgegriffen

Worum es geht

Fireworks AI ist ein US-Unternehmen, das KI-Modelle im Auftrag anderer Firmen betreibt und anpasst. Am 9. November 2026 hat es eingeräumt, dass ein im Oktober entdeckter Hackerangriff viel größer war als zunächst dargestellt. Über etwa einen Monat hinweg hatten Angreifer Zugriff auf Konto- und Rechnungsdaten von Kunden, bei einigen Kunden auch auf Datensätze und unvollständige Modellgewichte. Zuerst berichtete die Forbes-Reporterin Anna Tong darüber. Fireworks hat dazu ein aktualisiertes Sicherheitsbulletin veröffentlicht.

Das Unternehmen ist kein kleiner Anbieter. Laut Forbes hat Fireworks rund 10.000 Unternehmenskunden, darunter Uber, Shopify, Upwork, DoorDash und das Programmierwerkzeug Cursor. Nvidia gehört zu den Geldgebern, im Juli wurde Fireworks mit 17,5 Milliarden US-Dollar bewertet. Das Kerngeschäft ist Inferenz: Ein fertig trainiertes Modell wird ausgeführt, um Antworten zu erzeugen. Kunden müssen dafür keine eigenen Grafikkarten-Server betreiben. Außerdem können Firmen bei Fireworks Modelle per Fine-Tuning an eigene Daten anpassen, also ein bestehendes Modell mit firmeneigenen Beispielen nachtrainieren.

Welche Daten betroffen sind

Anfang Oktober hieß es von Fireworks noch, es seien nur Umgebungsvariablen aus Evaluierungsjobs offengelegt worden. Das sind Konfigurationswerte, die beim Testen von Modellen verwendet werden. Laut dem aktualisierten Bulletin, das ShiftDelete.Net auswertet, gab eine betroffene interne Anwendung Zugriff auf deutlich mehr:

Für den Inferenzdienst, das Training SDK und Nexus hat Fireworks nach eigenen Angaben keine Auswirkungen festgestellt. Diese Dienste speichern standardmäßig keine Kundendaten („Zero Data Retention“). Das Unternehmen betont aber, dass die Untersuchung noch läuft.

Wie die Angreifer hineinkamen

Der Angriff verlief in zwei Wellen:

• 6. Oktober: Fireworks bemerkt, dass interne Zugangsdaten missbraucht werden. Ab dem 7. Oktober informiert es Kunden, bis zum 9. Oktober sind die API-Schlüssel der Mitarbeiter ausgetauscht. Am 9. Oktober erscheint ein Sicherheitsbulletin, am 10. Oktober eine Aktualisierung. Zu diesem Zeitpunkt sah es so aus, als sei der Vorfall eingedämmt.
• 23./24. Oktober: Ein externer Cloud-Anbieter, bei dem Fireworks Rechner für Forschung und Entwicklung betreibt, wird gehackt. Über diesen Zugang gelangen die Angreifer am 24. Oktober auf Entwicklungsrechner von Fireworks und lassen dort nicht autorisierte Rechenjobs laufen. Laut der Nachrichtenagentur ChainCatcher, auf die sich KuCoin beruft, zielte dieser zweite Angriff auf den Speicher für Forschungsdaten. Fireworks hat die Aktivität nach eigenen Angaben noch am selben Tag entdeckt. Seit dem 25. Oktober soll es keinen erfolgreichen Zugriff auf die Kundenplattform mehr gegeben haben.

Fireworks ordnet den Angriff einer finanziell motivierten Gruppe zu, die LLMjacking betreibt. Dabei stehlen Kriminelle den Zugang zu großen Sprachmodellen und verkaufen die Rechenleistung über illegale Zwischenhändler weiter. Die Rechnung bezahlt der eigentliche Kontoinhaber. Firmenchefin Lin Qiao schrieb im Oktober auf X, das Verhalten der Angreifer deute darauf hin, dass KI-Agenten beteiligt waren, also KI-Programme, die selbstständig Schritte ausführen.

Was Fireworks unternimmt

Das Unternehmen hat nach eigenen Angaben die Strafverfolgungsbehörden eingeschaltet und arbeitet mit Unit 42 zusammen, der Ermittlungs- und Bedrohungsforschungseinheit des Sicherheitskonzerns Palo Alto Networks. Zugangsdaten wurden ausgetauscht, betroffene Systeme isoliert und Zugriffsrechte eingeschränkt. Vorläufig ausgesetzt sind Uploads und Downloads von Datensätzen im Selbstbedienungsmodus für Batch-Inferenz (viele Anfragen gesammelt auf einmal verarbeiten) und für datensatzbasiertes Training. Betroffene Kunden wurden laut Cryptobriefing direkt benachrichtigt.

Das Vertrauen hat trotzdem gelitten. Forbes hat mit zwei Kunden gesprochen, die ihr Geschäft bereits weitgehend von Fireworks abgezogen haben. Einer von ihnen sprach von einer Reihe „sehr schlimmer Hacks“, die immer häufiger würden.

Was Kunden jetzt tun sollten

ShiftDelete.Net empfiehlt Fireworks-Kunden diese Schritte:

• API-Schlüssel und alle auf der Plattform gespeicherten Geheimnisse austauschen, auch ohne Benachrichtigung.
• Abrechnung und Guthabenverbrauch auf unerwartete Kosten prüfen, das typische Zeichen für LLMjacking.
• Prüfen, welche Datensätze für Batch-Jobs hochgeladen wurden und ob darin personenbezogene oder vertrauliche Daten steckten.
• Bei Fragen auf die Vorfall-E-Mail antworten oder sich an security-notice@fireworks.ai wenden.

Cryptobriefing warnt außerdem vor gezieltem Phishing: Wer echte Rechnungen, Adressen und Kontostände kennt, kann sehr überzeugende gefälschte Rechnungen oder Zahlungsaufforderungen schreiben. Wer Fireworks nur für die laufende Inferenz nutzt, ist laut Unternehmen nicht betroffen.

Einordnung

Der Fall zeigt ein Risiko, das mit der wachsenden Abhängigkeit von KI-Dienstleistern zunimmt. Wer seine eigenen Daten zum Fine-Tuning hochlädt, ist auch den Sicherheitslücken des Anbieters ausgesetzt und dessen Zulieferern. Bei Fireworks reichte ein Einbruch bei einem externen Cloud-Anbieter, um Wochen nach der ersten, schnell eingedämmten Attacke erneut einzudringen. Besonders heikel sind abgeflossene Datensätze und teilweise trainierte Modelle, denn dabei geht es um geistiges Eigentum und unter Umständen um personenbezogene Daten. Welche Kunden genau betroffen sind und in welchem Umfang, bleibt offen.

Fireworks ist kein Einzelfall. Laut Cryptobriefing gab es allein im Oktober mindestens neun Sicherheitsvorfälle bei KI-Plattformen. ShiftDelete.Net erinnert an einen Einbruch beim Anbieter Northflank, bei dem gestohlene KI-API-Schlüssel missbraucht wurden. Kritisch zu sehen ist auch, wie Fireworks kommuniziert hat: Ein zunächst als geringfügig beschriebener Vorfall entpuppte sich einen Monat später als deutlich ernster. Für Unternehmen, die KI-Anbieter auswählen, werden Sicherheitsprüfungen und die Frage, welche Daten man überhaupt aus der Hand gibt, damit wichtiger.