Fireworks AI: quando a cadeia de suprimentos de IA vira vetor de ataque

A infraestrutura de inteligência artificial está se tornando cada vez mais interdependente. E essa interdependência cria pontos únicos de falha que criminosos cibernéticos estão aprendendo a explorar com rapidez e precisão. O caso da Fireworks AI — startup apoiada pela Nvidia que processa modelos de linguagem para milhares de empresas — ilustra de forma vívida esse risco sistêmico.

Em 2 de novembro, a Fireworks AI notificou a Notion de que um conjunto de dados havia sido acessado por malfeitores. O que se seguiu revelou um incidente composto: em vez de um único ataque, tratava-se de uma sequência de explorações encadeadas que começou em outubro e só foi totalmente mapeada em 8 de novembro, quando a Fireworks confirmou o escopo final do comprometimento.

A arquitetura de confiança quebrada

A Fireworks AI se posiciona como uma plataforma para desenvolvedores acessarem e executarem modelos de IA de código aberto. Segundo a empresa, conta com mais de 10 mil clientes, incluindo Notion, Cursor, Harvey (escritório de advocacia impulsionado por IA) e Lightning AI. A empresa é apoiada financeiramente pela Nvidia, o que a coloca no centro do ecossistema de infraestrutura de IA.

O ataque não atingiu a Fireworks diretamente. De acordo com o boletim de segurança publicado em 9 de novembro, o vetor foi um provedor de nuvem terceirizado que hospedava máquinas de P&D da Fireworks. Em 23 de outubro, um terceiro não autorizado explorou esse provedor para acessar as máquinas de desenvolvimento da Fireworks. No dia seguinte, o atacante executou uma carga de trabalho não autorizada, resultando no comprometimento de dados de clientes.

A Fireworks detectou a atividade no mesmo dia 24 e isolou as vulnerabilidades críticas. Mas o dano já tinha se espalhado.

O que foi exposto: o caso Notion

A Notion foi uma das empresas mais visivelmente afetadas. De acordo com um comunicado de segurança publicado em 12 de novembro e atualizado em 10 de novembro, o ataque permitiu que os invasores acessassem transcrições de chats de clientes da Notion AI que utilizavam o recurso "Insights". Esse recurso, que ajudava os clientes a entenderem seus padrões de uso de IA, dependia diretamente de processamento feito pela Fireworks.

A Notion agiu rapidamente: em 3 de novembro, desconectou seus sistemas da Fireworks, deletou todos os dados armazenados na plataforma da Fireworks e interrompeu toda comunicação entre as duas empresas. A empresa diz que menos de 1% de seus workspaces foram afetados.

Um detalhe importante: a maioria dos transcrições comprometidas eram "não atribuídas" — ou seja, não eram rotuladas com a identidade do usuário nem com o workspace de origem. "Além do que está na própria transcrição do chat, não há nenhuma informação que ligue a transcrição a workspaces, usuários ou empresas", afirmou a Notion.

Ainda assim, a empresa recomendou que os clientes afetados tratassem os dados como se estivessem expostos publicamente. Se usuários tivessem inserido informações sensíveis, senhas, chaves de API ou outras credenciais no Notion AI durante o período do incidente, deveriam rotacioná-las imediatamente.

O padrão LLMJacking

Este não foi o primeiro incidente da Fireworks em 2026. Em 25 de outubro, a empresa já havia notificado clientes sobre um ataque anterior — desta vez via credenciais internas comprometidas. Em poucas semanas, a startup sofreu duas explorações distintas.

Mas o que torna o segundo ataque particularmente revelador é que ele faz parte de uma campanha mais ampla que a Google Threat Intelligence Group e a Mandiant chamaram de LLMJacking: criminosos que exploram modelos de linguagem para minerar tokens de acesso e vendê-los para gateways de roteamento ilícitos.

A SecurityWeek documentou que, em outubro de 2026, pelo menos uma dúzia de empresas de infraestrutura de IA foram atingidas pelo mesmo padrão de ataque: Andromeda, Brev (Nvidia), CommandCode, Fireworks AI, Lightning AI, Northflank, OpenCode, Railway, Trigger.dev, Warp e Zeabur. O alvo era consistente: segredos de clientes armazenados — chaves de API, tokens de sessão, credenciais.

A Chainstack, atingida em 26 de outubro, viu seus atacantes acessar um ambiente de desenvolvimento e, através de um componente terceirizado, partes de seu ambiente de produção. O WorkOS, em 30 de outubro, teve dados de vendas e comunicações com clientes expostos. A Fireworks, em sua segunda exploração, teve acesso a pesos de modelo e datasets de clientes.

O risco sistêmico da infraestrutura de IA

O caso Fireworks/Notion revela uma dinâmica que se repetirá: quando uma empresa depende de um fornecedor de inferência de IA para funcionalidades centrais, ela não está apenas terceirizando computação — está terceirizando confiança de segurança. Dados que nunca saíram dos servidores da Notion podem acabar em sistemas de terceiros que processam, armazenam em cache ou agregam informações para fins de análise.

A Notion desabilitou o recurso Insights e parou de servir modelos de código aberto pela Fireworks. Mas a questão maior é que a própria infraestrutura de inferência de IA — o "cabo submerso" digital que conecta centenas de startups a modelos poderosos — se tornou um alvo concentrado. Os atacantes sabem que, ao comprometer um único provedor como a Fireworks, podem obter acesso a dados de milhares de clientes indiretos.

A Fireworks afirma que seus sistemas de inferência, treinamento SDK e Nexus operam com retenção zero de dados (ZDR) por padrão — e que nenhum impacto foi detectado nessas áreas. No entanto, a própria existência dessa arquitetura em camadas, onde dados fluem entre provedores e sistemas de terceiros, cria superfícies de ataque que se multiplicam geometricamente.

A pergunta que fica é: quanto tempo a infraestrutura de IA pode escalar sem uma camada de segurança nativa que considere não apenas a proteção do provedor individual, mas a resiliência de toda a cadeia de clientes conectáveis?

O que observar nos próximos meses

Três desdobramentos merecem atenção:

1. Regulação de segurança de fornecedores de IA. A Comissão Europeia já está debatendo regras de due diligence de cadeia de suprimentos — o caso Fireworks pode acelerar a aplicação dessas regras a provedores de inferência de IA. Em outubro de 2026, a UE já havia incluído requisitos de gestão de riscos de IA na legislação de segurança.

2. Migração para provedores com retenção zero. A tendência de retenção zero de dados em sistemas de inferência pode se tornar não mais um diferencial de marketing, mas um requisito mínimo de contrato. Empresas que atualmente usam Fireworks, Together AI ou outros provedores devem avaliar se seus provedores atuais atendem a esse padrão.

3. Auditorias de segurança em cadeia. A própria Fireworks prometeu revisar e restringir o acesso a sistemas de armazenamento e análise de dados. É provável que outras empresas da infraestrutura de IA façam o mesmo — e que investidores como a Nvidia, que apoia a Fireworks, exijam auditorias de segurança como condição paracontinued funding.

Fontes: TechCrunch, SecurityWeek, Bloomberg

✓ Fontes independentes cruzadas e verificadas antes da publicação