Утечка Notion: взлом Fireworks AI раскрыл ИИ-чаты

Взломали ли Notion?

Не напрямую: Notion заявляет, что инцидент - «не взлом наших систем», а взлом у стороннего ИИ-поставщика Fireworks AI, раскрывший переписку Notion AI менее чем в 1% рабочих пространств ^[1].

Notion использовала Fireworks для двух задач: задач классификации в Insights, функции, которая помогает клиентам понимать собственное использование ИИ, и как общего провайдера вывода для запуска ИИ-моделей с открытыми весами внутри Notion ^[1]. BleepingComputer поясняет, что Insights даёт администраторам рабочих пространств видимость того, как их команды используют ИИ ^[4].

Notion сообщает, что другие функции не затронуты ^[1]. Пока идёт расследование, она отключила Insights и больше не предоставляет модели с открытыми весами через Fireworks ^[1]. TechCrunch сообщает, что, по словам Notion, Fireworks позже подтвердила кражу некоторых данных клиентов Notion ^[3].

Какие данные раскрыты при утечке Notion?

Похищенный набор данных включал переписку в чатах Notion AI, используемую для Insights; как передаёт TechCrunch со слов Notion, она содержит «любые входные данные модели и любые её ответы, записанные в чат» ^[3]. Для большинства пострадавших рабочих пространств, по словам Notion, переписку нельзя связать с конкретным источником ^[1].

Notion определяет «несвязываемые» данные как чаты, на которых не было отметки, кто их написал и из какого рабочего пространства они, и в которых не было результатов вызова инструментов ^[1]. «Помимо того, что содержится в самой переписке, нет информации, которая связывала бы чат с рабочими пространствами, пользователями или компаниями», - говорится в сообщении ^[1][5].

Загвоздка в самом содержимом. Всё, что человек вводил в Notion AI, например пароль, ключ API или конфиденциальный текст, могло оказаться в переписке ^[1]. Notion сообщает, что нашла такие ключи в затронутых сообщениях: 11 ноября она отозвала раскрытые ключи API Notion, а 12 ноября сообщила о раскрытых сторонних ключах API выдавшим их поставщикам ^[1].

У самой Fireworks более широкая утечка затронула метаданные ресурсов, платёжную информацию (адреса, счета, балансы и расход кредитов) и у некоторых клиентов - неполные веса моделей и наборы данных ^[2]. Fireworks заявляет, что не хранит номера платёжных карт, и они не пострадали ^[2].

Когда произошла утечка Notion?

Злоумышленник проник к Fireworks в конце октября 2026 года; Notion узнала о причастности данных клиентов в начале ноября и связалась с пострадавшими клиентами 9 ноября ^[1][2].

• 23 октября: у стороннего облачного провайдера, на котором размещались машины Fireworks для исследований и разработки, произошёл инцидент безопасности ^[2].
• 24 октября: злоумышленник через него добрался до машин разработки Fireworks и запустил несанкционированную нагрузку; Fireworks говорит, что обнаружила это в тот же день ^[2].
• 2 ноября: Fireworks сообщила Notion, что к небольшому набору данных был получен доступ; Notion сначала нашла только синтетические тестовые данные ^[1].
• 3-4 ноября: к утру 3 ноября Notion отключила свои системы от Fireworks, а 4 ноября удалила все свои данные в системе Fireworks ^[1].
• 6 ноября: Fireworks сообщила, что доступ мог быть получен к данным клиентов ^[1].
• 8 ноября: Fireworks подтвердила окончательный затронутый набор данных; позже Notion установила, что в него входила переписка Notion AI, используемая для Insights ^[1].
• 9 ноября: Notion связалась с пострадавшими клиентами ^[1].
• 11-13 ноября: в бюллетене Notion от 12 ноября есть примечания об обновлениях: 11 ноября она отозвала раскрытые ключи API Notion, а 12 ноября сообщила о раскрытых сторонних ключах API выдавшим их поставщикам ^[1].

В некоторых публикациях эта хронология сокращена; бюллетень самой Notion - наиболее подробное датированное изложение ^[1].

Что делать пользователям Notion сейчас?

Notion заявляет: если она с вами не связывалась, ваше рабочее пространство не отнесено к затронутым и сейчас никаких действий не требуется ^[1]. Пострадавшим клиентам она рекомендует ^[1][4]:

1. Просмотреть раскрытые данные. Пострадавшие клиенты могут безопасно получить их внутри своего рабочего пространства по инструкции из письма ^[1]. BleepingComputer сообщает, что владельцы рабочих пространств могут воспользоваться разделом проверки инцидентов безопасности в настольном веб-интерфейсе Notion и поделиться ссылкой для скачивания с участниками ^[4].
2. Считать данные раскрытыми, даже если большая часть переписки не связана с источником ^[1].
3. Сменить учётные данные. Если вы вставляли в Notion AI в период инцидента конфиденциальную информацию, пароли, ключи API или другие учётные данные, измените их ^[1][5].
4. Учесть ключи к другим сервисам. Notion сообщает, что передала найденные раскрытые сторонние ключи API выдавшим их поставщикам; клиентам она советует сменить любые ключи API, вставленные в Notion AI ^[1].
5. Для общей проверки утечки в материале Was My Data Leaked? How to Check and What to Do After a Data Breach рассказано, на что смотреть после любой утечки (общий совет, не часть уведомления Notion).

Общая мера предосторожности, не входящая в рекомендации Notion: не вводите действующие секреты в ИИ-чаты. Более безопасные способы хранить и передавать учётные данные описаны в материале Password Managers Explained: How They Work and Whether They Are Safe, а о том, что ИИ-чаты делают с вашими данными, - в материале Is ChatGPT Safe for Your Privacy? What AI Chatbots Do With the Data You Share.

Что такое Fireworks AI и как её взломали?

Fireworks AI - платформа, через которую разработчики получают доступ к открытым ИИ-моделям и запускают их; Notion описывает её как одну из самых используемых в мире платформ ИИ-инфраструктуры, обслуживающую десятки тысяч клиентов ^[1][3].

Fireworks сообщает, что у облачного провайдера, на котором размещались её машины для исследований и разработки, 23 октября произошёл инцидент, которым на следующий день воспользовалась неуполномоченная сторона, чтобы добраться до машин разработки Fireworks ^[2]. SecurityWeek называет 24 октября датой, когда данные клиентов были скомпрометированы ^[5]. Fireworks говорит, что по состоянию на 25 октября не обнаружила дальнейших свидетельств успешного несанкционированного доступа к платформе, которой пользуются её клиенты ^[2].

TechCrunch называет это вторым взломом Fireworks за два месяца ^[3]. Более ранний инцидент, о котором объявили в бюллетене от 9 октября, касался хранимых секретов; BleepingComputer сообщает, что хакеры получили доступ к переменным окружения с ключами API и токенами для ограниченного числа аккаунтов ^[2][4].

Fireworks заявляет, что уведомила правоохранительные органы и работает с Palo Alto Networks Unit 42 над криминалистическим анализом ^[2]. В число её мер вошли отзыв и замена учётных данных, изоляция затронутых систем и временное отключение самостоятельной загрузки и скачивания наборов данных для пакетного вывода и обучения на наборах данных ^[2].

Что такое LLMjacking?

LLMjacking - это кража доступа к большим языковым моделям с целью его перепродажи; Fireworks заявляет, что данные указывают на связь с финансово мотивированной киберпреступной группой, занимающейся этим ^[2].

По словам Fireworks, группа нацелена на «продажу токенов, полученных несанкционированным доступом к большим языковым моделям (LLM), нелегальным шлюзам маршрутизации» ^[2]. TechCrunch, который этот термин не использует, сообщает, что Fireworks считает атакующих финансово мотивированными, а покупателей - неуполномоченными третьими лицами, которые пользуются украденным доступом, не оплачивая собственные вычисления ^[3]. SecurityWeek, в свою очередь, связывает второй инцидент Fireworks с недавним ростом активности LLMjacking ^[5].

Сама Notion говорит лишь о «злоумышленниках» и ничего не сообщает о том, кто они и чего хотели ^[1]. Она сообщает, что в затронутых сообщениях нашли раскрытые ключи API, а ключи Notion она отозвала, сторонние же передала выдавшим их поставщикам ^[1]. Fireworks отмечает, что Google Threat Intelligence Group и Mandiant опубликовали исследование о LLMjacking 2 ноября ^[2].

Безопасно ли и дальше пользоваться Notion AI?

Notion заявляет, что связь с поставщиком разорвана, данные у Fireworks удалены, а затронутая функция отключена, но расследование продолжается ^[1].

• Обнадёживает: другие функции Notion не затронуты; большую часть переписки нельзя связать с пользователем; пострадавшим клиентам написали ^[1].
• Обнадёживает: Fireworks говорит, что её сервис вывода, Training SDK и Nexus по умолчанию работают без хранения данных и воздействия не показали ^[2].
• Открытый вопрос: BleepingComputer сообщает, что в FAQ Notion сказано, что Fireworks по договору обязалась не хранить данные Notion; ни один из просмотренных источников не объясняет, как набор данных Insights оказался доступен ^[4].
• Настораживает: Notion называет долю (менее 1% рабочих пространств), но, по данным SecurityWeek, не раскрыла, сколько клиентов затронуто ^[5].

Notion обещает «поднять планку» защиты данных клиентов ^[1]. TechCrunch считает, что инцидент показывает, как технологические компании полагаются на других поставщиков в собственных продуктах ^[3].

Что будет дальше?

Обе компании сообщают, что расследования продолжаются; Notion обещает обновить бюллетень, а Fireworks - при необходимости давать дополнительную информацию ^[1][2]. Fireworks предупреждает, что расследование «может выявить дополнительную информацию» ^[2].

Стоит следить за тем, назовёт ли Fireworks других пострадавших клиентов, пересмотрит ли Notion цифру «менее 1%» и вернётся ли отключённая сейчас функция Insights ^[1][2]. До тех пор проверять официальные обновления стоит на странице бюллетеня Notion ^[1].

Более общий урок для бизнеса касается цепочек поставщиков. TechCrunch отмечает, что взлом показывает, как технологические компании полагаются на других поставщиков в собственных продуктах, поэтому атака на одного может перекинуться на его клиентов ^[3]. Fireworks сообщает, что с тех пор ужесточила доступ к системам хранения данных и аналитики, ограничила сетевые пути и усилила журналирование и мониторинг вместе с Unit 42 ^[2]. В качестве общей меры предосторожности (не от компаний) команды, которые отправляют данные ИИ-поставщикам, могут спросить, что хранится, как долго и как быстро их уведомят об инциденте.