黑客盗走Token转售且Notion 1%聊天记录泄露！Fireworks AI云凭证遭攻陷：大模型供应链断裂危机、企业级API零信任与SRE级防线全景深度剖析

💡 站外导读：AI 时代最致命的阿喀琉斯之踵终于引爆。全球顶尖开源大模型推理托管平台 Fireworks AI 遭遇严重网络安全攻击，攻击者通过渗透其底层云基础设施获取了开发系统核心权限，导致部分客户账单数据集失窃；更严峻的是，顶级协作平台 Notion 紧急发布通报，证实受其牵连，使用 Notion AI“Insights”功能约 1% 用户的聊天记录遭到未授权泄露，促使 Notion 在 11 月 3 日全面切断与 Fireworks 的所有系统连接并物理清空关联数据。黑客甚至企图直接盗取模型推理配额并在黑市转售大模型 Token。这一安全事故拉响了企业采用第三方大模型托管服务的最高等级警报：在大模型 API 深度嵌入生产系统的今天，第三方供应链的脆弱性如何演变为系统性崩溃？本篇将全景拆解此次攻击链路与企业防御底线。

一、云提供商沦陷引发连锁反应：Fireworks AI 遭渗透的全链路还原

作为面向全球数万家企业与独立开发者的开源大模型云端推理中枢，Fireworks AI 曾以极低的调用延迟与高度优化的 vLLM 架构著称，其客户阵容包括了知名法律科技独角兽 Harvey、当红 AI 编程神器 Cursor 以及跨国协作平台 Notion。然而，正是这样一个关键的技术基础设施节点，在数月内遭遇了第二起严重安全漏洞：

• 上游云凭证越权击穿：攻击者并未正面硬撼 Fireworks 的 API 业务网关，而是将突破口选在了其底层的第三方云服务提供商（Cloud Service Provider）。通过劫持云凭证与开发环境配置，黑客长驱直入获得了 Fireworks 内部开发系统的最高访问权限；
• 核心账单与数据样本遭窃：在潜伏期间，攻击者导出了部分核心企业客户的账单流水、API 调用元数据以及测试数据集；
• “算力与 Token 倒卖”成为新型黑产动机：据安全团队初步溯源分析，此次攻击的直接诉求并非传统的勒索软件锁定，而是黑客试图通过渗透大模型推理集群，非法获取调用高价值开源与闭源前沿模型的权限配额，将洗劫而来的 Token 算力低价倒卖给灰色产业链，实现“零成本算力套现”。

二、Notion 1% 用户聊天记录泄露：Insights 功能对话暴露与紧急物理断链

在 Fireworks AI 通报安全漏洞后，其最大企业客户之一 Notion 随即展开了内部排查，并证实了最令人担忧的结果：Notion 约 1% 的用户受到了直接影响。泄露的内容高度敏感，主要集中在使用 Notion AI“Insights（洞察）”功能时产生的多轮聊天交互记录，包括用户输入的私有提示词以及模型返回的分析摘要。

令人触目惊心的是，由于部分开发与测试日志在跨平台传输时缺乏精细的可追溯审计追踪标记，Notion 官方坦承目前无法 100% 精确确定受影响具体对应哪些单个企业租户或个人账户。为了防止事态进一步恶化，Notion 于 11 月 3 日启动了最高安全响应级别：

1. 物理切断一切外部网络调用：立即下线所有由 Fireworks 承载的模型推理路由，停止向该服务商分发任何线上请求；
2. 跨云存储数据物理擦除：向 Fireworks 发出法律通牒，强制要求其彻底删除所有留存在临时缓存、日志与持久化磁盘中的 Notion 历史交互载荷；
3. 全链路租户访问鉴权吊销：全面轮换受影响服务涉及的所有 API Key、内部令牌与互联凭证。

三、现代企业 AI 技术栈与传统 SaaS 供应链安全风险矩阵全景对比

随着大语言模型（LLM）成为现代软件的“默认外设”，企业的攻击面已经从传统的代码依赖（如 npm/pip 投毒）向复杂的“模型推理链路”急剧演进：

四、SRE 级大模型供应链安全加固指南：零信任代理、Token 熔断与凭证隔离

针对此次 Fireworks AI 与 Notion 的安全事故，SRE 与基础设施安全团队必须在生产环境中立即落地以下防御铁律：

• 实施生产提示词前置脱敏（Prompt Sanitization Gateway）：严禁将原始用户输入直连第三方 API。所有出站请求必须经过内网脱敏网关，通过局部实体替换（Named Entity Masking）将身份证号、密钥、真实人名与内部项目代号转为虚拟占位符，接收到模型响应后再逆向还原；
• 启用严格的动态 Token 熔断限流机制：为每一个微服务与内部租户设置硬性速率配额（Quota Hard-Cap）与异常突增告警。一旦单日 Token 消耗偏离基线 300%，立即触发物理熔断，防止黑客盗刷算力带来天价账单；
• 实施短生命周期密钥与云间 VPC 私网互联：彻底废弃长期静态 API Key。采用基于 OAuth 2.0 / mTLS 的短期动态凭据，并通过 AWS PrivateLink 或 GCP VPC Peering 构建点对点专属内网隧道，严禁任何推理流量穿行于公网裸连环境。