Notion har avslöjat att en säkerhetsincident hos dess AI-leverantör Fireworks AI kan ha avslöjat vissa kunders Notion AI-chatttranskriptioner, i en händelse som påverkade färre än 1 % av Notion-arbetsytorna. I ett meddelande som publicerats i sitt hjälpcenter sa produktivitetsföretaget att de exponerade transkriptionerna inte kunde tillskrivas – inte märkta med vem som skrev dem eller vilken arbetsyta de kom ifrån – och att de inte innehöll några resultat av verktygsanrop, vilket betyder att ingen information i data kopplade individuella chattar tillbaka till en specifik användare, arbetsyta eller företag.
Avslöjandet är den senaste vändningen i ett intrång som Fireworks AI, en av de mest använda oberoende AI-inferensplattformarna, har spårat i offentliga säkerhetsbulletiner sedan oktober 2026 – och det ger en sällsynt detaljerad titt på hur en attack mot AI-infrastruktur faktiskt utvecklas. For more context on this story, see our ongoing AI industry coverage.
Vad Fireworks AI har bekräftat
Fireworks AI publicerade sin ursprungliga säkerhetsbulletin den 9 oktober 2026 och underrättade polisen och anlitade Palo Alto Networks enhet 42 för att utföra kriminalteknisk analys. I det skedet sa företaget att endast Fireworks-lagrade hemligheter som användes i utvärderingsjobb var kända för att ha nåtts.
Bilden breddades avsevärt i uppföljningsbulletinen, senast uppdaterad den 9 november. Fireworks säger att de sedan upptäckte effekter på konto- och faktureringsinformation, och – för en begränsad uppsättning konton – på hemligheter, datauppsättningar och ofullständiga modeller. Företaget tillskriver attacken till en ekonomiskt motiverad cyberkriminell grupp som är engagerad i "LLMJacking": stjäl åtkomst till stora språkmodeller så att tokens kan säljas vidare genom olagliga routing-gateways. Den handeln har blivit tillräckligt framträdande för att Google Threat Intelligence Group och Mandiant publicerade ett gemensamt blogginlägg om LLMJackings framväxt den 2 november.
Incidenten eskalerade också genom en egen försörjningskedja. Enligt Fireworks drabbades en tredje parts molnleverantör som var värd för sina forsknings- och utvecklingsmaskiner av sin egen säkerhetsincident den 23 oktober. Dagen därpå använde en obehörig tredje part det fotfästet för att nå Fireworks utvecklingsmaskiner och köra en obehörig arbetsbelastning, vilket orsakade ytterligare kunddatapåverkan. Fireworks säger att de upptäckte aktiviteten samma dag och vidtog saneringsåtgärder, och att den den 25 oktober inte har upptäckt ytterligare bevis på framgångsrik obehörig åtkomst på plattformen kunder använder.
De datakategorier som det påverkade interna systemet kan exponera per Fireworks: resursmetadata såsom identifierare och beskrivningar; faktureringsinformation inklusive faktureringsadresser, faktura- och betalningshistorik och kontosaldon — med betalkortsnummer som inte lagras av Fireworks och därför inte påverkas; och, för vissa kunder, modellvikter och datauppsättningar.
Hur Notion fångades i sprängningsradien
Notion använde Fireworks för två saker: klassificeringsjobb som driver en funktion som heter Insights, som hjälper kunder att förstå sin egen AI-användning, och som en allmän slutsatsleverantör som serverar modeller med öppen vikt inuti produkten.
Företaget säger att de fick reda på potentiella incidenter från Fireworks tidigare denna månad och stängde av alla anslutningar till Fireworks system som en försiktighetsåtgärd. Den 6 november meddelade Fireworks Notion att illvilliga aktörer kan ha kommit åt kunddata; två dagar senare, den 8 november, bekräftade Fireworks datamängden, som Notions analys visade inkluderade de icke tillskrivbara Notion AI-chatttranskriptioner som används för Insights-funktionen.
Notion har inaktiverat funktionen Insights medan den undersöker och betjänar inte längre modeller med öppen vikt via Fireworks. Ingen annan arbetsplatsdata påverkas, enligt meddelandet.
Vad berörda användare ska göra
Notion säger att de har kontaktat ägarna till alla berörda arbetsplatser och att kunder som inte har hört från företaget inte påverkas och inte behöver vidta några åtgärder. Ägare av arbetsytor kan granska berörda data i Notion via sidofältets hjälpmeny, med hjälp av skrivbordsappen eller webbläsaren – granskningsverktyget är inte tillgängligt på mobilen.
Ägare av företagsplaner får mer: en CSV av arbetsytans påverkade data, plus en kommenterad version med metadata som identifierar vilken användare som var associerad med varje chattranskript. Notion betonar att de tillagda kommentarerna inte var en del av den exponerade informationen – de producerades i efterhand för att hjälpa berörda organisationer att genomföra sin egen konsekvensanalys.
Varför den här incidenten är viktigare än vad som helst
Episoden är en fallstudie i AI-försörjningskedjarisk. Företag bäddar i allt större utsträckning in tredje parts slutledningsleverantörer – leverantörer som kör öppen vikt eller specialiserade modeller för deras räkning – i konsumentprodukter, och ett intrång i infrastrukturlagret kan tyst avslöja kundinteraktionsdata som produktföretaget självt aldrig lagrat.
Det är också en högprofilerad demonstration av LLMJacking-mönstret som Google Threat Intelligence och Mandiant flaggade: angripare som tjänar pengar på stulen AI-infrastruktur genom att sälja modellåtkomst genom skugggateways, snarare än att hålla data för lösen i det klassiska mönstret. När företag lägger arbetsbelastningar på AI-inferensplattformar blir säkerheten för dessa plattformar – och molnleverantörerna bakom dem – en första ordningens företagsrisk, inte en fotnot.
---
Stay Ahead of AIGet the latest AI news, analysis, and breakthroughs — all in one place.
Read more AI news →
