Nvidia'nın yatırım yaptığı yapay zekâ altyapı şirketi Fireworks AI, 9 Kasım 2026'da yayımladığı bülten ile saldırganların geliştirme makinelerine ulaştığını açıkladı. Adı açıklanmayan üçüncü taraf bir bulut sağlayıcı üzerinden ilerleyen saldırganlar, bazı müşterilere ait veri seti dosyalarına ve tamamlanmamış model ağırlıkları verilerine erişti.
Bloomberg raporuna göre bu olay, şirketin birkaç hafta içinde yaşadığı ikinci güvenlik ihlali olarak kayıtlara geçti. Şirket, 25 Ekim'den beri müşterilerin kullandığı platformda başarılı yetkisiz erişim kanıtı görmediğini belirtti.
İlk olaydan ikinci yola
Fireworks AI, 6 Ekim'de iç kimlik bilgilerinin yetkisiz kullanıldığını belirlemiş ve 9 Ekim'deki bülteninde API anahtarları içeren ortam değişkenlerine erişildiğini duyurmuştu. Bu ilk olayı daha önce haberleştirmiştik. İkinci yol ise şirketin Ar-Ge makinelerini barındıran bulut sağlayıcı ortamında açıldı. Bulut sağlayıcıdaki 23 Ekim tarihli güvenlik olayını kullanan yetkisiz bir kişi, 24 Ekim'de Fireworks geliştirme makinelerine ulaşarak yetkisiz bir iş yükü çalıştırdı.
Hangi veriler etkilendi
Şirketin yayımladığı güvenlik bültenine göre etkilenen veriler şunları kapsıyor:
- Kaynak meta verileri (kimlikler, adlar, açıklamalar).
- Fatura bilgileri (adresler, hesap bakiyesi, kredi kullanımı).
- Bazı müşteriler için tamamlanmamış model ağırlıkları ve veri seti kısımları.
- Sınırlı sayıda hesaba ait gizli anahtarlar.
Fireworks AI ödeme kartı numaralarını saklamadığı için bu veriler etkilenmedi. Ayrıca, varsayılan olarak sıfır veri saklama politikası uygulayan Çıkarım, Eğitim SDK ve Nexus hizmetlerinde bir etki görülmedi.
LLMjacking ve alınan önlemler
Şirketin incelemelerine göre kanıtlar, çalınan büyük dil modeli erişimini satan maddi motivasyonlu bir gruba işaret ediyor. «LLMjacking» adı verilen bu yöntem hakkında Google Threat Intelligence Group ve Mandiant ekipleri 2 Kasım'da ortak bir değerlendirme yayımlamıştı. Olayın ardından kolluk kuvvetlerine bildirimde bulunan şirket, adli inceleme için Palo Alto Networks Unit 42 ekibiyle çalışmaya başladı. Bloomberg'e göre şirketin 10 binden fazla müşterisi bulunuyor; ihlal, müşteri verisi içeren on binlerce dosyayı kapsıyor. Şirket sözcüsü, Notion, Cursor ve diğer müşterilerle olayı yönettiklerini söyledi.
Türkiye açısından
Türkiye açısından bakıldığında, kurumsal verisiyle ince ayar yapan şirketler için asıl risk, verinin tutulduğu üçüncü taraf altyapılardadır. Yurt dışındaki bir yapay zekâ platformuna kişisel veri içeren bir veri seti yüklemek, KVKK kapsamında yurt dışına veri aktarımı sayılır ve veri sorumlusunun yükümlülüğünü ortadan kaldırmaz. Kaynaklarda Türkiye'den bir kurum ya da kullanıcı bilgisi yer almıyor.
Kaynaklar
- Fireworks AI: Update on October 2026 security incident, 9 Kasım 2026
- BleepingComputer: Fireworks AI discloses new breach after cloud provider hack, 10 Kasım 2026
- Bloomberg Law: Nvidia-Backed Fireworks AI Discloses Its Second Hack in Weeks, 9 Kasım 2026
Kapak görseli: Fireworks AI kurucu ekibi, ofis (ortada CEO Lin Qiao), Fireworks AI resmî şirket fotoğrafı, fireworks.ai/about (16:9 kırpıldı, 1200×675).
