Компанія Notion розкрила, що інцидент із системою безпеки у її постачальника штучного інтелекту Fireworks AI міг відкрити стенограми чату Notion AI деяких клієнтів, у разі, якщо це вплинуло на менше ніж 1% робочих просторів Notion. У повідомленні, опублікованому в її довідковому центрі, компанія продуктивності заявила, що розкриті стенограми «не підлягають приписуванню» — не позначені тим, хто їх написав або з якої робочої області вони надійшли — і не містять результатів викликів інструментів, тобто жодна інформація в даних не пов’язувала окремі чати з конкретним користувачем, робочою областю або компанією.
Це останнє повідомлення про порушення, яке Fireworks AI, одна з найпоширеніших незалежних платформ штучного інтелекту, відслідковує в бюлетенях громадської безпеки з жовтня 2026 року, і пропонує рідкісний детальний погляд на те, як насправді розгортається атака на інфраструктуру AI. For more context on this story, see our ongoing more AI stories.
Що підтвердив AI Fireworks
Fireworks AI опублікував свій оригінальний бюлетень безпеки 9 жовтня 2026 року, повідомивши про це правоохоронні органи та залучивши підрозділ Palo Alto Networks 42 для проведення криміналістичного аналізу. На цьому етапі компанія заявила, що доступ був доступний лише до збережених у Fireworks секретів, які використовувалися під час оцінювання.
Картина значно розширилася в наступному бюлетені, востаннє оновленому 9 листопада. Fireworks каже, що згодом виявили вплив на облікові записи та платіжну інформацію, а також — для обмеженого набору облікових записів — на секрети, набори даних і неповні моделі. Компанія приписує атаку фінансово мотивованій кіберзлочинній групі, яка займається «LLMJacking»: крадіжкою доступу до великих мовних моделей, щоб токени можна було перепродати через незаконні шлюзи маршрутизації. Ця торгівля стала настільки помітною, що Google Threat Intelligence Group і Mandiant опублікували спільну публікацію в блозі про зростання LLMJacking 2 листопада.
Інцидент також загострився через власний ланцюг поставок. За даними Fireworks, 23 жовтня сторонній хмарний провайдер, який розміщує свої машини для досліджень і розробок, зазнав власного інциденту безпеки. Наступного дня неавторизована третя сторона скористалася цією опорою, щоб отримати доступ до машин розробки Fireworks і запустити несанкціоноване робоче навантаження, спричинивши додатковий вплив на дані клієнтів. У Fireworks стверджують, що виявили активність того ж дня та вжили заходів щодо її усунення, і станом на 25 жовтня не виявили жодних доказів успішного несанкціонованого доступу до платформи, яку використовують клієнти.
Категорії даних, які може оприлюднити уражена внутрішня система, відповідно до Fireworks: метадані ресурсів, такі як ідентифікатори та описи; платіжна інформація, включаючи платіжні адреси, рахунки-фактури та історію платежів, а також залишки на рахунках — номери платіжних карток не зберігаються Fireworks і, отже, не впливають на це; і, для певних клієнтів, ваги моделі та набори даних.
Як Notion потрапив у радіус вибуху
Notion використовував Fireworks для двох цілей: завдань класифікації, що забезпечує функцію під назвою Insights, яка допомагає клієнтам зрозуміти, як вони використовують AI, і як постачальника загального висновку, який обслуговує відкриті моделі всередині продукту.
Компанія каже, що дізналася про потенційні інциденти з Fireworks на початку цього місяця, і в якості запобіжного заходу відключила всі підключення до систем Fireworks. 6 листопада Fireworks повідомила Notion про те, що зловмисники могли отримати доступ до даних клієнтів; Через два дні, 8 листопада, Fireworks підтвердила набір даних, який, як показав аналіз Notion, містить неатрибуційні стенограми чату Notion AI, які використовуються для функції Insights.
Notion вимкнув функцію Insights під час дослідження та більше не обслуговує відкриті моделі через Fireworks. Згідно з повідомленням, жодні інші дані робочої області не впливають.
Що мають робити постраждалі користувачі
Notion стверджує, що зв’язалася з власниками кожного постраждалого робочого місця, і що клієнти, які не отримали від компанії жодної інформації, не постраждали, і їм не потрібно вживати жодних заходів. Власники робочих областей можуть переглядати дані, які зазнали впливу, у Notion за допомогою меню довідки на бічній панелі за допомогою настільної програми або веб-браузера — інструмент перегляду недоступний на мобільних пристроях.
Власники корпоративного плану отримують більше: файл CSV із даними робочої області, а також коментовану версію з метаданими, які вказують, який користувач був пов’язаний із кожним стенограмою чату. Notion підкреслює, що ці додані анотації не були частиною відкритих даних — вони були створені пізніше, щоб допомогти постраждалим організаціям провести власний аналіз впливу.
Чому цей інцидент має значення за межами уявлення
Цей епізод є практичним дослідженням ризиків ланцюга поставок ШІ. Компанії дедалі частіше вбудовують сторонніх постачальників висновків — постачальників, які запускають відкриті або спеціалізовані моделі від їх імені — у споживчі продукти, а порушення рівня інфраструктури може непомітно відкрити дані про взаємодію з клієнтами, які сама компанія-виробник ніколи не зберігала.
Це також гучна демонстрація шаблону LLMJacking, який позначили Google Threat Intelligence та Mandiant: зловмисники, які монетизують викрадену інфраструктуру штучного інтелекту, перепродуючи доступ до моделі через тіньові шлюзи, а не зберігають дані для отримання викупу за класичною схемою. Оскільки підприємства перекладають робоче навантаження на платформи штучного інтелекту, безпека цих платформ — і хмарних провайдерів, що стоять за ними — стає першочерговим ризиком підприємства, а не приміткою.
---
Stay Ahead of AIGet the latest AI news, analysis, and breakthroughs — all in one place.
Read more AI news →
