Fireworks AI mengungkap akses tanpa izin ke mesin pengembangannya setelah penyedia cloud pihak ketiga mengalami insiden keamanan. Dalam buletin 9 November 2026, perusahaan menyebut bahwa aktivitas tersebut berdampak pada data tambahan pelanggan, termasuk metadata sumber daya, informasi penagihan, serta sebagian bobot model yang belum lengkap dan set data milik pelanggan tertentu.
Fireworks AI menyediakan infrastruktur inferensi bagi pengembang yang ingin menjalankan model AI seperti Llama, Mistral, dan Gemma tanpa mengelola perangkat keras sendiri. Perusahaan sebelumnya mengungkap insiden lain pada awal Oktober yang melibatkan kunci API dan token yang disimpan sebagai rahasia pada sejumlah akun. Fireworks mencabut kredensial internal dan kunci API terdampak, termasuk kunci yang dibuat tanpa izin.
Pelaku mencapai mesin pengembangan melalui penyedia cloud
Menurut Fireworks, penyedia cloud yang menampung mesin riset dan pengembangannya mengalami insiden pada 23 Oktober. Sehari kemudian, pihak yang tidak berwenang mencapai mesin pengembangan Fireworks dan menjalankan beban kerja tanpa izin. Fireworks mendeteksi aktivitas itu pada hari yang sama. Sejak 25 Oktober, perusahaan mengatakan belum mendeteksi bukti akses tanpa izin lanjutan yang berhasil pada platform yang digunakan pelanggan.
Metadata yang terdampak mencakup pengenal sumber daya, nama tampilan, deskripsi, dan waktu pembuatan. Informasi penagihan mencakup alamat tagihan dan pengiriman, riwayat faktur dan pembayaran, saldo akun, serta penggunaan kredit. Fireworks menyatakan tidak menyimpan nomor kartu pembayaran dan nomor tersebut tidak terdampak. Perusahaan sedang memberi tahu pelanggan yang datanya terdampak beserta langkah yang perlu mereka ambil.
Fireworks isolasi sistem dan batasi akses set data
Fireworks bekerja sama dengan tim Unit 42 dari Palo Alto Networks untuk menyelidiki insiden dan memperkuat pengamanan. Perusahaan mencabut dan mengganti kredensial serta akun layanan, mengisolasi sistem terdampak, memperketat akses ke penyimpanan dan analitik, serta meningkatkan pencatatan dan pemantauan aktivitas.
Selama penyelidikan, Fireworks menonaktifkan sementara unggahan dan unduhan set data mandiri untuk Batch Inference dan pelatihan berbasis set data. Perusahaan belum mendeteksi dampak terhadap Inference, Training SDK, atau Nexus. Ketiga layanan tersebut menerapkan kebijakan tanpa retensi data secara bawaan, menurut buletin Fireworks.
Sumber: Fireworks AI – Update on October 2026 security incident
