Notion hat bekannt gegeben, dass ein Sicherheitsvorfall bei seinem KI-Anbieter Fireworks AI möglicherweise die Notion AI-Chat-Transkripte einiger Kunden offengelegt hat, wobei weniger als 1 % der Notion-Arbeitsbereiche betroffen waren. In einer in seinem Help Center veröffentlichten Mitteilung erklärte das Produktivitätsunternehmen, dass die offengelegten Transkripte „nicht zuordenbar“ seien – sie seien nicht mit der Person gekennzeichnet, von der sie geschrieben wurden oder aus welchem Arbeitsbereich sie stammten – und dass sie keine Tool-Call-Ergebnisse enthielten, was bedeutete, dass in den Daten keine Informationen enthalten waren, die einzelne Chats einem bestimmten Benutzer, Arbeitsbereich oder Unternehmen zuordneten.
Die Offenlegung ist die jüngste Wendung in einem Verstoß, den Fireworks AI, eine der am weitesten verbreiteten unabhängigen KI-Inferenzplattformen, seit Oktober 2026 in öffentlichen Sicherheitsbulletins verfolgt – und sie bietet einen seltenen detaillierten Blick darauf, wie ein Angriff auf die KI-Infrastruktur tatsächlich abläuft. Weitere Informationen zu dieser Geschichte finden Sie in unserer KI-Nachrichten.
Was Fireworks AI bestätigt hat
Fireworks AI veröffentlichte sein ursprüngliches Sicherheitsbulletin am 9. Oktober 2026, benachrichtigte die Strafverfolgungsbehörden und beauftragte die Unit 42 von Palo Alto Networks mit der Durchführung forensischer Analysen. Zu diesem Zeitpunkt gab das Unternehmen bekannt, dass nur auf die von Fireworks gespeicherten Geheimnisse zugegriffen wurde, die bei Evaluierungsaufgaben verwendet wurden.
Im Folgebulletin, das zuletzt am 9. November aktualisiert wurde, verschärfte sich das Bild erheblich. Fireworks gab an, anschließend Auswirkungen auf Konto- und Rechnungsinformationen sowie – für eine begrenzte Anzahl von Konten – auf Geheimnisse, Datensätze und unvollständige Modelle entdeckt zu haben. Das Unternehmen führt den Angriff auf eine finanziell motivierte Cyberkriminellengruppe zurück, die „LLMJacking“ betreibt: den Zugriff auf große Sprachmodelle stehlen, damit die Token über illegale Routing-Gateways weiterverkauft werden können. Dieser Handel ist so bekannt geworden, dass die Google Threat Intelligence Group und Mandiant am 2. November einen gemeinsamen Blogbeitrag über den Aufstieg von LLMJacking veröffentlicht haben.
Der Vorfall eskalierte auch über eine eigene Lieferkette. Laut Fireworks erlitt ein externer Cloud-Anbieter, der seine Forschungs- und Entwicklungsmaschinen hostet, am 23. Oktober einen eigenen Sicherheitsvorfall. Am nächsten Tag nutzte ein unbefugter Dritter diesen Zugang, um auf die Fireworks-Entwicklungsmaschinen zuzugreifen und eine nicht autorisierte Arbeitslast auszuführen, was zusätzliche Auswirkungen auf die Kundendaten hatte. Fireworks gab an, die Aktivität noch am selben Tag entdeckt und Abhilfemaßnahmen ergriffen zu haben. Bis zum 25. Oktober seien keine weiteren Beweise für einen erfolgreichen unbefugten Zugriff auf die von Kunden genutzte Plattform festgestellt worden.
Die Datenkategorien, die das betroffene interne System laut Fireworks offenlegen könnte: Ressourcenmetadaten wie Kennungen und Beschreibungen; Rechnungsinformationen, einschließlich Rechnungsadressen, Rechnungs- und Zahlungshistorie sowie Kontostände – wobei Zahlungskartennummern nicht von Fireworks gespeichert werden und daher nicht betroffen sind; und für bestimmte Kunden Modellgewichte und Datensätze.
Wie Notion im Explosionsradius gefangen wurde
Notion nutzte Fireworks für zwei Zwecke: Klassifizierungsaufgaben, die eine Funktion namens Insights unterstützen, die Kunden dabei hilft, ihre eigene KI-Nutzung zu verstehen, und als allgemeiner Inferenzanbieter, der offene Modelle innerhalb des Produkts bereitstellt.
Das Unternehmen sagte, es habe Anfang des Monats von möglichen Vorfällen durch Fireworks erfahren und vorsorglich alle Verbindungen zu den Systemen von Fireworks abgeschaltet. Am 6. November teilte Fireworks Notion mit, dass böswillige Akteure möglicherweise auf Kundendaten zugegriffen haben; Zwei Tage später, am 8. November, bestätigte Fireworks den Datensatz, der laut Notions Analyse die nicht zuordenbaren Notion AI-Chat-Transkripte enthielt, die für die Insights-Funktion verwendet wurden.
Notion hat die Insights-Funktion während der Untersuchung deaktiviert und stellt über Fireworks keine Open-Weight-Modelle mehr bereit. Der Mitteilung zufolge sind keine anderen Arbeitsbereichsdaten betroffen.
Was betroffene Benutzer tun sollten
Notion gibt an, die Eigentümer aller betroffenen Arbeitsbereiche kontaktiert zu haben und dass Kunden, die nichts von dem Unternehmen gehört haben, nicht betroffen sind und keine Maßnahmen ergreifen müssen. Workspace-Besitzer können die betroffenen Daten in Notion über das Hilfemenü der Seitenleiste, mit der Desktop-App oder dem Webbrowser überprüfen – das Überprüfungstool ist auf Mobilgeräten nicht zugänglich.
Besitzer eines Enterprise-Plans erhalten mehr: eine CSV-Datei der betroffenen Daten des Arbeitsbereichs sowie eine kommentierte Version mit Metadaten, die identifizieren, welcher Benutzer mit jedem Chat-Transkript verknüpft war. Notion betont, dass diese hinzugefügten Anmerkungen nicht Teil der offengelegten Daten waren – sie wurden nachträglich erstellt, um betroffenen Organisationen bei der Durchführung ihrer eigenen Wirkungsanalyse zu helfen.
Warum dieser Vorfall von Bedeutung ist, geht über die Vorstellung hinaus
Die Folge ist eine Fallstudie zum Risiko von KI-Lieferketten. Unternehmen betten zunehmend Inferenzanbieter von Drittanbietern – Anbieter, die in ihrem Namen offene oder spezialisierte Modelle betreiben – in Verbraucherprodukte ein, und ein Verstoß auf der Infrastrukturebene kann stillschweigend Kundeninteraktionsdaten preisgeben, die das Produktunternehmen selbst nie gespeichert hat.
Es ist auch eine viel beachtete Demonstration des LLMJacking-Musters, das Google Threat Intelligence und Mandiant gemeldet haben: Angreifer, die gestohlene KI-Infrastruktur monetarisieren, indem sie den Modellzugriff über Schatten-Gateways weiterverkaufen, anstatt Daten wie beim klassischen Muster als Lösegeld zu erpressen. Während Unternehmen Arbeitslasten auf KI-Inferenzplattformen verlagern, wird die Sicherheit dieser Plattformen – und der dahinter stehenden Cloud-Anbieter – zu einem Unternehmensrisiko ersten Ranges und nicht mehr zur Nebensache.
---
Bleib vorne bei KIDie neuesten KI-Nachrichten, Analysen und Durchbrüche – alles an einem Ort.
Mehr KI-Nachrichten lesen →
