Uber称AI供应商遭入侵，美国司机驾照信息泄露

Uber已开始联系全美数千名司机，告知其近期与第三方AI提供商相关的安全事件。此次泄露可能导致司机个人数据（包括驾照信息）面临暴露风险。该公司已在以下文件中详述了该事件： 发送给司机的通知 ，日期为11月10。

Uber如何得知其供应商遭到入侵

2026年10月9日，该服务提供商在黑客获取内部凭证并利用其访问Uber账户后联系了Uber。Uber表示已立即切断数据连接并展开调查。截至10月13日，该公司已确认未经授权访问了驾驶员的个人数据。

Uber已为旗下用户提供了由Cyberscout提供的免费监控和欺诈协助服务。截至目前，尚未报告任何滥用情况。

发给驾驶员的事件通知日期为11月10日，这意味着距离验证完成已过去28天。然而，验证与通知受影响驾驶员之间的时间间隔并不意味着存在报告违规行为。

据TechCrunch报道，该服务提供商为Fireworks AI

据TechCrunch报道，涉事服务商为Fireworks AI，这是一家向开发者提供AI模型访问权限的公司。Uber也向该媒体确认，Fireworks持有其部分数据。

截至目前，公布的数字显示共有7,870人受影响，涉及三个州：南卡罗来纳州3,430人，马萨诸塞州2,567人，罗德岛州1,873人。南卡罗来纳州消费者事务部独立确认了其州的统计人数。

然而，此次数据泄露的完整影响范围仍不清楚。加利福尼亚州和伊利诺伊州尚未公布相关数据，因此7,870的总数仅涵盖已报告数量的三个州。受影响的驾驶员全国总数仍然未知。

一起与“LLMJacking”相关的凭证窃取事件

在11月9日的公告中，Fireworks宣布此次泄露事件比单纯的凭证被盗更为严重。账户和账单信息已被访问。部分客户的密钥、数据集以及未完成的AI模型被访问。Fireworks明确指出，支付卡号码未受影响。

该公司还披露了另一起数据泄露事件。10月23日，托管Fireworks系统的云服务提供商遭到入侵。黑客于次日利用对该云服务的访问权限，获取了更多客户信息。Fireworks报告称，在10月25日之后未再发生其他成功的数据泄露事件。

Fireworks将此次攻击与LLMJacking联系起来，这是一种基于窃取AI模型访问权限的骗局。在另一起案件中，Google和Mandiant披露，未经授权的使用AI服务在短短一天内产生的费用超过10万美元。然而，这些费用与Uber无关。

为何此次泄露并非2016式的掩盖行为

Uber此前曾遭遇过重大数据泄露事件，但当时的应对方式有所不同。2018年，加州总检察长宣布就一起隐瞒的2016年数据泄露事件达成1.48亿美元的和解协议，该事件影响了5700万人。调查人员指出，Uber向黑客支付了10万美元以换取沉默，且未通知超过17.4万名加州司机。

此次，Uber表示已立即断开受影响提供商的连接，通知了司机并提供信用监控服务。截至目前，公开披露的信息中未发现类似掩盖行为的证据。

第三方风险已成为更大的隐患

Uber最新的数据泄露事件凸显了一个日益严峻的问题：企业可能通过其依赖的供应商丢失敏感信息。世界经济论坛发现，65%的大型企业将第三方和供应链漏洞视为其最大的网络弹性挑战，高于2025年的54%。

与此同时，IBM估计全球平均数据泄露成本为499万美元。Verizon审查了来自145个国家的22000多起确认发生的数据泄露事件。这些数据反映的是更广泛的网络安全风险，而非Uber的实际损失。

Cryptopolitan 之前报道过一起类似的第三方 AI 工具被入侵事件，涉及 Vercel。对于 Uber 而言，仍然有三个问题需要解答：全国有多少司机受到影响？具体泄露了哪些信息？Fireworks 如何控制对 Uber 数据的访问？该公司的公告并未回答这些问题。