AI 新聞 2026年10月11日

今日 · 事件日 10 月 10 日

Fireworks AI 揭露內部憑證遭冒用。調查未結

推論平台 Fireworks AI 執行長揭露內部憑證遭未授權使用，已撤銷憑證並通知受影響客戶

為什麼跟你有關： 用 Fireworks 的團隊先確認有沒有收到通知，再查金鑰能不能隨時換。

Fireworks AI 是代管開放權重模型的推論服務商，企業透過 API 呼叫它代跑的模型。執行長 Lin Qiao 10 月 10 日在 X 寫：「We identified a security incident involving unauthorized use of internal Fireworks credentials.」她說公司已圍堵事件、撤銷這些憑證、直接通知所有已確認受影響的客戶，並與一家資安公司合作調查；目前「have not detected impact or access to customer data or inference traffic」。推論流量是客戶送進模型的請求和模型回傳的答案（Lin Qiao，2026-10-10）。貼文只說是 Fireworks 內部的憑證，沒說是哪一種，也沒說是否涉及客戶自己的金鑰；憑證怎麼被拿到、被拿去做了什麼，貼文沒寫（公司安全公告的說法見下方驗證段）。10 月 9 日被轉貼的 Sam Altman 談開放模型會帶來資安事件的引述見快訊第 2 則，發言日不明，但這起是憑證被冒用，不是模型被拿去攻擊，兩件事不能互相佐證。

驗證： 本報讀了 Lin Qiao 的貼文原文；她附的安全公告是出刊後才補讀（見本頁開頭更正）。公告寫「On October 6, Fireworks identified a security incident」，也就是公司 10 月 6 日就發現事件；又寫「We believe that environment variables, including API keys and tokens stored as secrets, were captured in certain affected accounts.」，白話是部分受影響帳號裡存成機密的 API 金鑰與存取權杖可能已被取走。公告的時序表記 10 月 10 日又撤銷了一批用戶 API 金鑰、輪換了服務帳號權杖，並要受影響客戶輪換通知裡點名的第三方憑證；公告最後更新是 10 月 10 日（Fireworks 安全公告，2026-10-10 更新）。受影響客戶有多少，貼文與公告都沒寫。「未偵測到」是調查中的當下狀態，不是結論。目前只有公司自己一個來源，本報今天不立新判斷；要回頭看的是調查結果公布時，「沒發現客戶資料受影響」這個說法有沒有改寫。用其他代管推論服務的團隊，可以拿同樣兩個問題問自己的供應商：內部憑證被冒用時會不會直接通知客戶，客戶的金鑰能不能隨時換。