2026-11-11
Fireworks AI 보안 사고(2026년 10월): 결제 정보와 일부 데이터셋·모델 가중치에 영향, 회사는 클라우드 업체 침해가 관련됐다고 설명. 고객이 해야 할 일
AI 모델 추론 인프라를 제공하는 Fireworks AI는 2026년 10월 9일에 처음 공개한 보안 사고에 대해 11월 9일 업데이트를 발표했습니다. 회사에 따르면 10월 6일에 발견한 최초 사고에서는 Fireworks에 저장된 비밀 정보(평가 작업에서 쓰는 것 등)만 영향을 받은 것으로 알려져 있었는데, 이후 계정·결제 정보에 영향이 있었고 한정된 계정에서는 비밀 정보, 데이터셋, 불완전한 모델 가중치에도 영향이 있었음을 확인했습니다. 회사의 설명으로는 연구개발용 머신을 호스팅하던 제3자 클라우드 업체에서 10월 23일 보안 사고가 있었고, 10월 24일 무단 제3자가 이를 이용해 Fireworks의 개발 머신에 닿아 무단 워크로드를 실행했으며 이로 인해 고객 데이터에 추가 영향이 생겼습니다. 회사는 같은 날 이를 탐지했고, 10월 25일 시점에 고객이 쓰는 플랫폼에 대한 추가적인 무단 접근 성공의 증거는 탐지하지 못했다고 합니다. 증거는 금전 목적의 사이버 범죄 조직과의 연관을 시사한다고 합니다. 결제 카드 번호는 회사가 저장하지 않으며 영향을 받지 않았습니다. 기본값이 데이터 보존 없음(zero data retention)인 Inference, Training SDK, Nexus에서는 영향이 탐지되지 않았습니다. 조사 중에는 셀프 서비스 데이터셋 업로드와 다운로드가 비활성화되어 있습니다. 우리의 견해: 고객은 플랫폼에 저장한 것을 목록으로 만들어 교체하고, 운영자는 개발 환경을 결제·고객 데이터 시스템과 분리하세요.