一句话看懂：AI 推理服务商 Fireworks AI 遭黑客窃取内部凭证，攻击者借此接触到 Uber 供应商侧的数据，导致至少 7,870 名司机的个人信息和驾照信息泄露。这起事件把「AI 基础设施厂商的供应链安全」推到了台前。
事件核心：发生了什么
据 The Next Web 援引 TechCrunch 的报道，Uber 正在通知部分司机：其个人信息与驾照数据在供应商 Fireworks AI 处被黑客窃取。Uber 称，Fireworks 于 10 月 9 日告知其内部凭证遭窃，攻击者随后利用这些凭证访问了 Uber 的数据。Uber 未披露总受影响人数，本周向州检察长提交的通知显示，马萨诸塞州 2,567 人、南卡罗来纳州 3,430 人、罗德岛州 1,873 人，合计 7,870 人；加州和伊利诺伊州也已发出通知但未附人数，因此总数可能继续上升。
Fireworks 在 7 月估值 175 亿美元，主要向开发者提供开源 AI 模型的调用服务。该公司披露了 10 月的两起安全事件：第一起是内部凭证被滥用，第二起是攻击者通过某云服务商的漏洞进入其开发机器。Fireworks 表示，攻击者拿走了账单数据，部分客户还遭遇密钥、数据集和未完成模型权重的泄露；Notion 称其不到 1% 工作区的 AI 聊天记录被暴露。Fireworks 将事件归咎于一个靠出售被盗 AI 模型访问权限牟利的组织，即所谓「LLMjacking」。
为什么重要
这起事件的关键不只是数据泄露本身，而是泄露路径：一家 AI 推理与模型托管服务商，成了下游企业客户数据的暴露入口。目前公开信息显示，Uber 为何将司机驾照数据存放在 AI 推理供应商处，尚无明确解释；Uber 将其他问题转给 Fireworks，后者未回应 TechCrunch 的具体提问。这说明企业在接入第三方 AI 平台时，数据边界和权限管理可能远比预期模糊。对正在快速扩张的 AI 基础设施行业而言，客户凭证、数据集和模型权重都是高价值资产，LLMjacking 把被盗的 API 访问权直接变成黑市商品，安全投入不足的厂商会同时承担自身和客户的损失。
对用户/开发者/创作者的影响
对普通用户，尤其是 Uber 司机，需要留意官方通知，关注驾照信息被冒用的风险。对开发者和企业采购方，这起事件提示在选型 AI 推理或模型 API 供应商时，应把凭证管理、最小权限、数据留存位置和第三方审计纳入评估，而不是只看价格和模型能力。使用 Fireworks 或类似平台托管敏感数据的团队，建议尽快核查密钥轮换记录和访问日志。对 AI 应用创作者而言，若工作流依赖第三方推理服务，需确认聊天记录、上传文件等数据是否会被供应商留存，以及泄露时的责任划分。
AI 工具推荐
想把多个 AI 模型放在一个入口？
GamsGo AI 集成 ChatGPT、DeepSeek、Gemini、Claude、Midjourney、Veo 等常用模型，适合写作、绘图、视频和日常 AI 工作流。
推广链接：通过此链接购买，我可能获得佣金，不影响你的价格。
值得关注的后续
一是 Uber 与 Fireworks 是否会披露完整受影响人数及数据存放原因；二是 Fireworks 两起事件的调查结论和客户补偿方案；三是监管机构是否会对 AI 服务商的供应链安全提出更明确要求。目前没有组织宣称对 Fireworks 的窃取负责，事件仍在演进中。
来源：The Next Web
