Fireworks AI: cuándo la cadena de suministro de IA se convierte en vector de ataque

La infraestructura de inteligencia artificial se está volviendo cada vez más interdependiente. Y esa interdependencia crea puntos únicos de fallo que los criminales cibernéticos están aprendiendo a explotar con rapidez y precisión. El caso de Fireworks AI —startup respaldada por Nvidia que procesa modelos de lenguaje para miles de empresas— ilustra de forma vívida este riesgo sistémico.

El 2 de noviembre, Fireworks AI notificó a Notion que un conjunto de datos había sido accedido por actores maliciosos. Lo que se reveló fue un incidente compuesto: en lugar de un único ataque, se trataba de una secuencia de exploits encadenados que comenzó en octubre y solo fue mapeado completamente el 8 de noviembre, cuando Fireworks confirmó el alcance final del compromiso.

La arquitectura de confianza rota

Fireworks AI se posiciona como una plataforma para que los desarrolladores accedan y ejecuten modelos de IA de código abierto. Según la empresa, cuenta con más de 10.000 clientes, incluyendo Notion, Cursor, Harvey (bufete de abogados impulsado por IA) y Lightning AI. Apoyada financieramente por Nvidia, se encuentra en el centro del ecosistema de infraestructura de IA.

El ataque no golpeó directamente a Fireworks. Según el boletín de seguridad publicado el 9 de noviembre, el vector fue un proveedor de nube tercerizado que albergaba las máquinas de I+D de Fireworks. El 23 de octubre, un tercero no autorizado explotó ese proveedor para acceder a las máquinas de desarrollo de Fireworks. Al día siguiente, el atacante ejecutó una carga de trabajo no autorizada, resultando en el compromiso de datos de clientes.

Fireworks detectó la actividad el mismo día 24 y aisló las vulnerabilidades críticas. Pero el daño ya se había propagado.

Qué fue expuesto: el caso Notion

Notion fue una de las empresas más visiblemente afectadas. Según un comunicado de seguridad publicado el 12 de noviembre y actualizado el 10 de noviembre, el ataque permitió que los invasores accedieran a transcripciones de chats de clientes de Notion AI que utilizaban la función "Insights". Esta función, que ayudaba a los clientes a comprender sus patrones de uso de IA, dependía directamente del procesamiento realizado por Fireworks.

Notion actuó rápidamente: el 3 de noviembre, desconectó sus sistemas de Fireworks, eliminó todos los datos almacenados en la plataforma de Fireworks e interrumpió toda comunicación entre ambas empresas. La compañía indica que menos del 1% de sus workspaces fueron afectados.

Un detalle importante: la mayoría de las transcripciones comprometidas eran "no atribuidas" —es decir, no estaban etiquetadas con la identidad del usuario ni con el origen del workspace. "Más allá de lo que está en la propia transcripción del chat, no hay ninguna información que vincule la transcripción a workspaces, usuarios o empresas", afirmó Notion.

Aun así, la empresa recomendó que los clientes afectados trataran los datos como si estuvieran expuestos públicamente. Si los usuarios hubieran insertado información sensible, contraseñas, claves de API u otras credenciales en Notion AI durante el período del incidente, deberían rotarlas inmediatamente.

El patrón LLMJacking

Este no fue el primer incidente de Fireworks en 2026. El 25 de octubre, la empresa ya había notificado a clientes sobre un ataque anterior —esta vez a través de credenciales internas comprometidas. En pocas semanas, la startup sufrió dos explotaciones distintas.

Pero lo que hace este segundo ataque particularmente revelador es que forma parte de una campaña más amplia que Google Threat Intelligence Group y Mandiant denominaron LLMJacking: criminales que explotan modelos de lenguaje para minar tokens de acceso y venderlos a gateways de enrutamiento ilícitos.

SecurityWeek documentó que, en octubre de 2026, al menos una docena de empresas de infraestructura de IA fueron alcanzadas por el mismo patrón de ataque: Andromeda, Brev (Nvidia), CommandCode, Fireworks AI, Lightning AI, Northflank, OpenCode, Railway, Trigger.dev, Warp y Zeabur. El objetivo era consistente: secretos de clientes almacenados —claves de API, tokens de sesión, credenciales.

Chainstack, alcanzada el 26 de octubre, vio a sus atacantes acceder a un entorno de desarrollo y, a través de un componente tercerizado, partes de su entorno de producción. WorkOS, el 30 de octubre, tuvo expuestos datos de ventas y comunicaciones con clientes. Fireworks, en su segunda explotación, tuvo acceso a pesos de modelo y datasets de clientes.

El riesgo sistémico de la infraestructura de IA

El caso Fireworks/Notion revela una dinámica que se repetirá: cuando una empresa depende de un proveedor de inferencia de IA para funcionalidades centrales, no solo está externalizando computación —está externalizando confianza de seguridad. Datos que nunca salieron de los servidores de Notion pueden terminar en sistemas de terceros que procesan, almacenan en caché o agregan información con fines analíticos.

Notion deshabilitó la función Insights y dejó de servir modelos de código abierto a través de Fireworks. Pero la pregunta mayor es que la propia infraestructura de inferencia de IA —el "cable submarino" digital que conecta cientos de startups con modelos potentes— se ha convertido en un objetivo concentrado. Los atacantes saben que, al comprometer un único proveedor como Fireworks, pueden obtener acceso a datos de miles de clientes indirectos.

Fireworks afirma que sus sistemas de inferencia, training SDK y Nexus operan con retención cero de datos (ZDR) por defecto —y que no se detectó impacto en esas áreas. Sin embargo, la propia existencia de esta arquitectura en capas, donde los datos fluyen entre proveedores y sistemas de terceros, crea superficies de ataque que se multiplican geométricamente.

La pregunta es: cuánto tiempo puede escalar la infraestructura de IA sin una capa de seguridad nativa que considere no solo la protección del proveedor individual, sino la resiliencia de toda la cadena de clientes conectables?

Qué observar en los próximos meses

Tres desarrollos merecen atención:

1. Regulación de seguridad de proveedores de IA. La Comisión Europea ya está debatiendo reglas de debida diligencia de cadena de suministro —el caso Fireworks puede acelerar la aplicación de esas reglas a proveedores de inferencia de IA. En octubre de 2026, la UE ya había incluido requisitos de gestión de riesgos de IA en la legislación de seguridad.

2. Migración a proveedores con retención cero. La tendencia hacia la retención cero de datos en sistemas de inferencia puede volverse no solo un diferencial de marketing, sino un requisito mínimo contractual. Empresas que actualmente usan Fireworks, Together AI u otros proveedores deberían evaluar si sus proveedores actuales cumplen con ese estándar.

3. Auditorías de seguridad en cadena. La propia Fireworks prometió revisar y restringir el acceso a sistemas de almacenamiento y análisis de datos. Es probable que otras empresas de infraestructura de IA hagan lo mismo —y que inversores como Nvidia, que respalda a Fireworks, exijan auditorías de seguridad como condición para la continuación del financiamiento.

Fuentes: TechCrunch, SecurityWeek, Bloomberg

✓ Fuentes independientes cruzadas y verificadas antes de la publicación