Fireworks 云服务商遭“LLMJack”攻击，Token 被盗用于非法调用大模型
做 AI 应用的人该看看这个案子：攻击者偷的是 API Token，不是数据库。查查自己的 Key 有没有额度上限和用量告警，Fireworks 官方公告也给了影响范围说明。
10月23日，Fireworks 研发机器所在的第三方云服务商再次发生安全事件，攻击被归因于一个通过盗取 API Token、非法调用大模型获利的犯罪团伙，此类手法被称为“LLMJack”。Fireworks 在安全公告中表示，银行卡号未受影响，且 10月25日之后暂未发现新的成功入侵。这类攻击的核心机制是窃取企业或开发者的访问凭证，再借其免费消耗 LLM 推理算力或转售调用额度，受害者往往在账单异常后才察觉。
对使用第三方推理服务（如 Fireworks、Together AI 等）的团队而言，这意味着 API Key 管理需要按安全资产对待：轮换密钥、限制额度、监控异常调用量。 Fireworks 已发布 security bullet 说明影响范围，并确认资金类数据未泄露。
证据指向一个通过盗取Token、非法调用大模型获利的网络犯罪团伙，这类攻击被称为“LLMJack”。 10月23日，Fireworks研发机器所在的第三方云服务商再次发生安全事件。Fireworks称，银行卡号未受影响，10月25日后暂未发现新的成功入侵。 fireworks.ai/security/bulle…📊 1 ⚡
This report is categorized under AITOP's "Industry" desk, focusing on US frontier AI labs and Silicon Valley technology leaders. Within our cross-regional analytical framework, it directly maps to AI developer toolchains, coding agents, and engineering workflows and US-China foundation model benchmarks and commercialization comparison. Key entities and technical topics under continuous tracking include Fireworks, LLMJack, API Token, AI安全.
Source attribution: curated from AI Will (@FinanceYF5).
