추론 클라우드 Fireworks AI가 11월 9일 해킹 피해 범위를 크게 넓혀 다시 공지했어요. 처음엔 API 키만 샜다더니, 미완성 모델 가중치·데이터셋·청구 정보까지 나갔습니다. 고객사 Notion의 AI 대화 기록도 일부 노출돼, AI 공급망 보안 문제가 커지고 있어요.
AI 업계 보안 사고가 요즘 정말 잦은데, 이번 건은 좀 결이 달라요. 오픈소스 모델 추론·파인튜닝 플랫폼으로 꽤 알려진 Fireworks AI가 11월 9일 보안 공지를 업데이트했는데요, 핵심은 한 줄입니다. "10월에 말한 것보다 피해가 컸다." 🔥
사건은 10월 6일 오전 9시(태평양시)에 시작됐어요. 누군가 Fireworks 내부 자격증명을 무단으로 쓰고 있다는 게 탐지됐고, 회사는 10월 9~10일쯤 첫 보안 공지를 냈습니다. 당시 설명은 이랬어요. 일부 고객 계정에서 평가(evaluation) 작업용 환경변수에 접근당했고, 거기 저장된 API 키와 토큰이 털렸다. 그리고 고객 모델이나 데이터셋, 학습 데이터, 추론 트래픽, 개인정보에 접근한 흔적은 없다고요.
근데 이게 끝이 아니었습니다.
10월 23일, Fireworks의 R&D 장비를 호스팅하던 외부 클라우드 업체(이름은 공개 안 됨)가 뚫렸고, 공격자는 다음 날인 10월 24일 그 경로로 Fireworks 개발 장비까지 들어와서 무단 워크로드를 돌렸어요. 이 2차 침투에서 노출된 게 훨씬 무겁습니다. 리소스 식별자와 이름·설명 같은 메타데이터, 청구·배송 주소와 인보이스, 결제 이력, 계정 잔액, 크레딧 사용량, 그리고 일부 고객의 미완성 모델 가중치와 데이터셋까지요. ⚠️ 10월에 "모델이나 데이터셋은 안전하다"고 했던 설명이 사실상 뒤집힌 셈이에요.
공격 주체는 누굴까요. Fireworks는 금전 목적의 사이버 범죄 조직과 연결돼 있다고 보고 있어요. 이른바 LLMjacking, 그러니까 훔친 자격증명으로 남의 LLM 접근 권한을 가로채서 불법 라우팅 게이트웨이를 통해 되파는 수법입니다. 원래 주인이 요금을 내고 다른 사람이 그 토큰을 쓰는 구조죠. 구글도 최근 LLMjacking이 여러 지역·산업의 AI 인프라를 노리고 있다고 경고한 바 있어요.
린 차오(Lin Qiao) CEO는 공격자들이 모델 가중치 자체를 노린 것 같진 않다며 "대부분의 다운로드는 부분적이었고 중간에 멈췄다"고 했습니다. 솔직히 이 말이 얼마나 위안이 될지는 모르겠어요. 파인튜닝한 가중치나 학습 데이터셋은 고객 입장에서 핵심 자산인데, "일부만 받아 갔다"는 건 받아 간 건 맞다는 뜻이니까요.
여파는 이미 고객사로 번졌습니다. Notion은 이번 사고가 자사 워크스페이스의 1% 미만에 영향을 줬다고 밝혔어요. 처음엔 Notion AI 테스트용 합성 데이터만 넘어갔다고 봤는데, 추가 분석에서 Insights 기능에 쓰인 실제 Notion AI 대화 기록도 포함된 걸 확인했다고 합니다. 대부분은 작성자나 워크스페이스 정보가 붙지 않은 상태였다지만, 대화 내용 자체에 신원을 알 만한 정보가 있을 수는 있죠. Notion은 Insights 기능을 끄고, Fireworks를 통한 오픈웨이트 모델 서빙도 중단했어요. 블룸버그에 따르면 Fireworks는 Cursor, Harvey 같은 고객과도 영향을 점검하고 있고, 포브스는 두 고객사가 상당한 물량을 다른 곳으로 옮겼다고 전했습니다. 📉
Fireworks는 팔로알토 네트웍스의 Unit 42와 함께 대응 중이고, 유출된 자격증명 폐기, 서비스 계정 토큰·API 키 교체, 영향받은 시스템 격리, 접근 통제와 로깅 강화를 했다고 밝혔어요. Inference, Training SDK, Nexus 같은 주력 서비스는 기본적으로 데이터를 보존하지 않아서 영향이 없다는 입장이고요. 다만 영향받은 고객 수는 여전히 공개하지 않았습니다.
개인적으로 이 사건이 무섭다고 느낀 건, 공격이 Fireworks 본체가 아니라 "Fireworks가 쓰던 또 다른 클라우드"를 통해 들어왔다는 점이에요. 🔬 기업들이 자체 데이터를 들고 외부 추론 업체에 파인튜닝을 맡기고, 그 업체는 또 다른 클라우드를 쓰고… AI 공급망이 몇 겹으로 쌓여 있는지 다들 잘 모르잖아요. 파인튜닝을 외부에 맡긴 팀이라면 지금 당장 키 교체부터 하는 게 맞을 것 같고, 업계 전체로는 "추론 업체 보안 감사"가 다음 숙제가 될지도 모르겠습니다.
출처