In einer am Montag aktualisierten Mitteilung erklärte Fireworks, den ersten Einbruch am 6. Oktober entdeckt und Unit 42 von Palo Alto Networks mit der Untersuchung beauftragt zu haben. Nach Erkenntnissen der Ermittler steckt eine bekannte, finanziell motivierte Cybercrime-Gruppe hinter dem Angriff. Sie stahl Konto- und Abrechnungsinformationen sowie Secrets, also vertrauliche digitale Zugangsdaten, mit denen sich Nutzer oder Anwendungen authentifizieren, kommunizieren oder Aktionen ausführen. Betroffen war nach Angaben von Fireworks eine „begrenzte Zahl von Kundenkonten“, deren Inhaber alle informiert wurden.

Am 23. Oktober folgte ein zweiter Vorfall: Kriminelle griffen einen externen Cloud-Anbieter an, der die Forschungs- und Entwicklungsrechner von Fireworks hostete. „Am 24. Oktober nutzte die unbefugte Drittpartei den Anbieter, um auf Entwicklungsrechner von Fireworks zuzugreifen und dort eine nicht autorisierte Arbeitslast auszuführen, die zu weiteren Auswirkungen auf Kundendaten führte“, so das Unternehmen. Die Angreifer erlangten dabei Zugriff auf interne Daten, Abrechnungsinformationen, Rechnungen und Zahlungsverläufe sowie auf Datensätze und weitere KI-bezogene Daten. Auch hier wurden die betroffenen Kunden benachrichtigt. Gemeinsam mit Palo Alto Networks härtet Fireworks seine Sicherheitsvorkehrungen und widerruft kompromittierte Zugangsdaten.

Notion veröffentlichte einen eigenen Hinweis, wonach einige seiner Kunden von den Vorfällen betroffen sind. Das Unternehmen wurde am 2. November informiert, trennte daraufhin seine Systeme von Fireworks und ließ sämtliche Daten im Fireworks-System löschen. „Am 6. November teilte uns Fireworks mit, dass Angreifer möglicherweise auf Kundendaten zugegriffen haben. Unser Team hat sofort eine weitere interne Untersuchung eingeleitet“, erklärte Notion. Fireworks sei für Klassifizierungsaufgaben in der Funktion Insights genutzt worden, mit der Kunden ihre eigene KI-Nutzung nachvollziehen können, sowie als allgemeiner Inferenzanbieter für Open-Weight-Modelle im Produkt. Insights ist während der Untersuchung deaktiviert, Open-Weight-Modelle werden nicht mehr über Fireworks bereitgestellt.

Beim LLMJacking kapern Angreifer den Zugang eines Unternehmens zu großen Sprachmodellen. Die Google Threat Intelligence Group (GTIG) und Mandiant beschrieben die Taktik vergangene Woche. Mandiant hat 2026 nach eigenen Angaben auf mehrere solcher Vorfälle bei verschiedenen Cloud- und LLM-Anbietern reagiert; betroffen waren Organisationen in Nordamerika, Südamerika und im asiatisch-pazifischen Raum aus Finanzdienstleistung, Handel, Technologie und Transport. „Anders als der schleichende Ressourcenverbrauch beim Cryptojacking kann LLMJacking binnen Stunden sprunghaft hohe betrügerische Cloud-Kosten verursachen“, so die Forscher. In einzelnen Fällen beobachteten sie betrügerische Gebühren von mehr als 100.000 US-Dollar an einem Tag, bei manchen Organisationen summierten sie sich bis zum Entzug des Zugangs auf eine Million US-Dollar.

GTIG zufolge stehen hinter den Angriffen vielfältige finanziell motivierte Akteursgruppen aus mehreren Weltregionen. Die Szene professionalisiert sich: Manche Gruppen konzentrieren sich auf den Erstzugang und übergeben ihn an andere, die den unbefugten Zugriff auf Sprachmodelle zu Geld machen und weiterverkaufen. Mehrere Untersuchungen zeigten, dass es vor allem um Token und Zugangsdaten ging, mit denen sich Angreifer in der Infrastruktur der Ziele festsetzen. GTIG erwartet, dass Kriminelle ihre automatisierte Aufklärung verfeinern, um offenliegende API-Token ins Visier zu nehmen und Schwachstellen in Middleware für das Modell-Routing auszunutzen, während Unternehmen leistungsfähigere Modelle und agentische Workflows produktiv einsetzen. Diese Spezialisierung werde einen wachsenden illegalen Weiterverkaufsmarkt tragen, auf dem Angreifer Kontingente von Unternehmen rasch abschöpfen und die Kosten den Opfern aufbürden, bevor die Kompromittierung bemerkt wird.