Fireworks AI : LLMjacking et poids de modèles volés dans la brèche

Ce qui s'est passé

Fireworks AI, l'un des fournisseurs d'inférence LLM les plus prisés des startups et des équipes enterprise aux États-Unis, a notifié ses clients d'une deuxième compromission de sécurité survenue le 24 octobre 2026. La société, qui propose un accès API à des dizaines de modèles open source et propriétaires avec des garanties de faible latence et zéro rétention de données par défaut, avait déjà subi un premier incident en début de mois, initialement présenté comme de portée limitée. La deuxième divulgation, confirmée le 8 novembre 2026, révèle une exposition sensiblement plus grave.

Selon la notification envoyée aux clients concernés et corroborée par plusieurs sources journalistiques dont The Information et mlq.ai, les attaquants ont obtenu un accès non autorisé à des machines de développement de Fireworks AI après avoir compromis un fournisseur cloud tiers de la société. Une fois présents sur ces machines, ils ont exécuté du code arbitraire et ont exfiltré plusieurs catégories de données : des enregistrements de facturation et de compte pour un ensemble plus large de clients, et pour un sous-ensemble restreint de comptes, des secrets stockés, des datasets d'entraînement et des poids de modèles partiellement téléchargés.

L'attribution à une campagne de LLMjacking est confirmée par Palo Alto Networks Unit 42, qui a été mandaté par Fireworks AI pour conduire l'investigation forensique. Le LLMjacking est une technique documentée depuis mi-2024 : des acteurs malveillants compromettent les infrastructures GPU de fournisseurs d'IA pour y exécuter des inférences LLM non autorisées et revendre cet accès sur des forums clandestins. Dans le cas de Fireworks AI, les attaquants semblent avoir visé à la fois les ressources de calcul et les artefacts propriétaires (modèles fine-tunés par les clients) pour en monnayer la revente ou l'utilisation concurrentielle.

La réponse du PDG de Fireworks AI, qui a affirmé publiquement que les attaquants ne cherchaient pas les poids de modèles et que les téléchargements étaient incomplets, a été reçue avec scepticisme par plusieurs experts en sécurité. Des commentateurs de la communauté MLSec soulignent qu'un poids de modèle partiellement téléchargé peut souvent être reconstitué ou utilisé pour accélérer un entraînement adversarial, et que la distinction entre "poids complets" et "poids partiels" est moins rassurante que ne le présente la direction de la société. Des fonctions d'upload et de download de données ont été temporairement suspendues en réponse à l'incident.

L'exposition des transcriptions de conversations Notion AI constitue un aspect particulièrement sensible de la brèche. Fireworks AI intègre des pipelines IA pour plusieurs produits SaaS, dont apparemment certains composants de Notion AI. Les transcriptions de conversations IA peuvent contenir des informations hautement confidentielles : stratégies d'entreprise dictées à un assistant, données RH, informations légales, projets non publiés. La chaîne de responsabilité entre Notion, Fireworks AI et leurs clients respectifs reste à clarifier, notamment au regard des obligations de notification du RGPD pour les clients européens.

Les données de facturation exposées soulèvent un risque distinct mais immédiat : la compromission de secrets d'API et de clés d'authentification. Dans l'écosystème LLM, une clé API volée permet non seulement d'effectuer des inférences aux frais de la victime, mais potentiellement d'accéder aux modèles fine-tunés hébergés sur le compte compromis. Fireworks AI a conseillé à tous ses clients de renouveler leurs clés API à titre préventif, indépendamment de leur présence confirmée dans le périmètre de la brèche — un signal que la société n'est pas certaine de la portée exacte de l'exfiltration.

Selon des sources citées par The Information, au moins deux grands clients de Fireworks AI ont réduit significativement leur utilisation du service depuis la divulgation, et plusieurs autres évaluent activement des alternatives comme Together AI, Groq ou les APIs directes des éditeurs de modèles (Anthropic, Google, Meta). La confiance dans un fournisseur d'inférence est un actif fragile : les clients qui externalisent l'hébergement de modèles fine-tunés propriétaires leur confient un avantage concurrentiel difficilement quantifiable. Une brèche touchant ces artefacts peut avoir des conséquences commerciales durables bien au-delà des coûts directs de l'incident.

Du côté des produits non affectés, Fireworks AI a précisé que ses services Inference, Training SDK et Nexus fonctionnent avec une architecture zéro rétention de données par défaut et n'ont pas été touchés par la compromission. Cette distinction est importante pour les clients qui utilisent ces services uniquement en mode inférence sans stocker de datasets ou de modèles dans l'infrastructure Fireworks. L'investigation d'Unit 42 est toujours en cours au moment de la publication de cet article.

Pourquoi c'est important

La brèche Fireworks AI illustre une tendance alarmante : la chaîne d'approvisionnement de l'IA générative présente des surfaces d'attaque que peu d'organisations ont correctement cartographiées. Lorsqu'une entreprise fine-tune un modèle sur des données propriétaires et l'héberge chez un fournisseur tiers, elle externalise non seulement de la puissance de calcul, mais aussi une partie de sa propriété intellectuelle. La sécurité de cet actif dépend alors de la posture de sécurité du fournisseur, de ses sous-traitants cloud, et de l'ensemble des maillons de cette chaîne — un périmètre que la plupart des RSSI n'incluent pas encore dans leurs évaluations de risque tiers.

Le LLMjacking représente une évolution significative des menaces liées à l'IA. Les premières campagnes documentées en 2024 ciblaient essentiellement des buckets S3 mal configurés contenant des credentials AWS pour accéder à des APIs LLM. Les attaques de 2026 sont plus sophistiquées : elles visent les fournisseurs d'infrastructure eux-mêmes, avec l'objectif d'accéder simultanément à la puissance de calcul GPU et aux modèles propriétaires des clients. Cette double cible (compute + IP) rend le LLMjacking particulièrement lucratif et difficile à détecter, car les patterns d'usage malveillant peuvent imiter des workflows légitimes d'entraînement.

Pour les équipes de conformité, la notification Fireworks AI soulève des obligations réglementaires complexes. Les clients européens de la société sont potentiellement soumis à l'obligation de notification à leur DPA (Data Protection Authority) dans les 72 heures suivant la prise de connaissance, si des données personnelles de résidents européens figuraient dans les datasets exposés. Les données de conversation Notion AI — potentiellement couvertes — représentent un cas particulièrement délicat, car la responsabilité entre le responsable de traitement (le client enterprise), le sous-traitant (Notion) et le sous-sous-traitant (Fireworks AI) n'est pas immédiatement claire.

L'incident Fireworks AI devrait accélérer la réflexion sur les modèles de déploiement alternatifs pour les modèles propriétaires : on-premise, VPC dédié, ou déploiements sur infrastructure contrôlée par l'organisation. Ces options ont un coût opérationnel supérieur, mais elles offrent une surface d'attaque tiers considérablement réduite. Pour les organisations dont les modèles fine-tunés constituent un avantage concurrentiel réel, ce calcul économique mérite une réévaluation sérieuse à la lumière de cet incident.

Ce qu'il faut retenir

• Faites immédiatement tourner toutes vos clés API Fireworks AI si vous utilisez leurs services, même si vous n'avez pas reçu de notification de compromission directe.
• Inventoriez les modèles fine-tunés hébergés chez des tiers et évaluez si leur niveau de sensibilité justifie un déploiement on-premise ou en VPC privé.
• Vérifiez vos obligations de notification RGPD si des données personnelles de résidents européens figuraient dans les datasets ou conversations exposés.