Uber 披露司机驾照数据泄露，报道指向 AI 服务商 Fireworks AI

据 IT之家 2026 年 11 月 14 日报道，Uber 披露一起数据泄露事件，数千名美国司机的个人信息及驾照信息遭窃，涉及马萨诸塞州、南卡罗来纳州、罗得岛州和伊利诺伊州等地。通报显示，攻击者先入侵一家第三方服务供应商，窃取员工登录凭据，再利用这些信息访问 Uber 的系统及数据。这起事件的关键并非单一数据库失守，而是第三方供应商成为进入平台系统的入口。

已知泄露范围：司机驾照数据成为主要目标

根据来源摘要，此次被窃信息主要包含司机驾照数据。Uber 已开始向受影响司机发送通知，说明具体信息泄露情况。目前公开的部分州受影响人数如下：

• 马萨诸塞州：2567 人；
• 南卡罗来纳州：3430 人；
• 罗得岛州：1873 人；
• 伊利诺伊州等地也在涉及范围内，但来源未提供具体人数。

这些数字仅对应已披露的部分地区，不宜直接视为事件最终规模。Uber 尚未公布可能受到影响的乘客人数，因此也不能据此认定乘客数据已经泄露或完全未受波及。截至来源报道时，没有网络犯罪组织宣布对此次数据窃取负责。

供应商被指为 Fireworks AI，官方确认仍有缺口

Uber 尚未公开涉事服务供应商的名称。不过，IT之家援引 TechCrunch 报道称，该供应商为 Fireworks AI。这是一家面向开发者提供开源 AI 模型运行、微调及扩展服务的平台。“报道指向 Fireworks AI”与“Uber 已正式确认供应商身份”需要区分，现有信息不能将两者等同。

来源未说明 Fireworks AI 与 Uber 的具体业务集成方式，也未交代被盗凭据的权限范围。因此，目前无法判断哪些技术配置或管理环节导致攻击继续扩散，更不能把这起事件描述成模型漏洞、提示词攻击或训练数据泄露。已知攻击路径仍是供应商遭入侵、凭据被盗，再到 Uber 系统被访问。

产业解读：AI 服务接入也要纳入供应链安全

对正在接入外部 AI 平台的企业而言，这起事件提示，模型能力与运行效率之外，供应商身份权限同样需要审查。AI 服务商一旦进入企业业务链条，也就进入了企业的安全边界。第三方账号能访问什么数据、凭据如何保管、异常访问能否及时发现，都是与模型选型并行的问题。

从风险控制角度看，最小权限、凭据轮换、访问审计和供应商事件响应机制，有助于限制外部账号失陷后的影响范围；但现有报道不足以判断 Uber 在这些环节的实际部署情况。驾照属于敏感身份资料，其泄露还可能带来后续身份冒用风险，具体影响仍需等待调查。

来源同时称，这是 Uber 在 2026 年遭遇的第二起安全事件：今年 8 月，勒索组织 Helix 曾通过社会工程学手段，从 Uber Freight 货运业务部门窃取数据。两起事件不能据此认定有关联，但共同提醒大型平台，业务系统之外的人员、凭据与供应商关系，同样是必须持续管理的攻击面。