Утечка чатов Notion AI затронула менее 1% пользователей сервиса: после компрометации инфраструктурного поставщика Fireworks AI в чужие руки попали расшифровки диалогов из части рабочих пространств. Для команд, использующих ИИ-помощника как место для черновиков, запросов к внутренним документам и обсуждения кода, это не абстрактный инцидент у подрядчика, а повод проверить, какие секреты могли оказаться в чатах.
Notion сообщила об инциденте после того, как Fireworks AI 8 ноября подтвердила доступ злоумышленника к данным клиентов. Как пишет BleepingComputer, в распоряжении атакующего оказались транскрипты, использовавшиеся функцией Insights — она показывала администраторам рабочих пространств, как сотрудники применяют Notion AI.
Первое уведомление от Fireworks Notion получила 2 ноября. Тогда поставщик сообщил об открытом наборе данных, который, по первоначальной оценке, содержал только синтетические тестовые сведения. Notion немедленно прекратила направлять трафик в Fireworks AI, удалила данные со стороны поставщика и к 3 ноября остановила связанные с ним обучающие запуски. Но 8 ноября выяснилось, что набор включал и реальные клиентские данные — в том числе диалоги пользователей Notion AI.
Для большинства затронутых рабочих пространств расшифровки были обезличены: к ним не прилагались данные о том, кто написал сообщение и из какого рабочего пространства оно пришло. По словам Notion, в транскриптах также не было результатов вызовов инструментов. Это снижает масштаб привязки данных к конкретным людям и организациям, но не отменяет главного риска: пользователь мог сам вставить в запрос пароль, токен доступа, ключ API, фрагмент конфигурации или чувствительный текст из внутреннего документа.
Два инцидента у одного поставщика
Проблемы Fireworks AI не ограничились этой историей. Компания ранее раскрыла, что 23 октября атакующий получил доступ к её среде разработки через стороннего облачного провайдера. В результате были скомпрометированы метаданные ресурсов, платёжная информация, веса моделей и наборы данных некоторых заказчиков. Ещё один инцидент произошёл в начале октября: злоумышленники получили доступ к переменным окружения с ключами API и токенами, сохранёнными как секреты для ограниченного числа аккаунтов.
Fireworks AI помогала Notion запускать часть моделей с открытыми весами, доступных через Notion AI. Поставщик также анализировал сохранённые разговоры для Insights. Именно этот контур и стал источником проблемы: не основной архив Notion и не содержимое каждой страницы сервиса, а отдельный массив диалогов для аналитической функции. После инцидента Notion отключила Insights. Компания отдельно подчёркивает, что по договору Fireworks AI обязалась не хранить данные Notion, — формулировка, которая теперь неизбежно станет предметом неудобных вопросов к контролю исполнения таких условий.
Пострадавшим владельцам рабочих пространств Notion предлагает открыть раздел проверки инцидента безопасности в веб-версии сервиса. Там можно изучить доступные данные и передать участникам специальную ссылку для скачивания их собственных транскриптов. Уведомления получили владельцы потенциально затронутых пространств; если письмо не пришло ни пользователю, ни владельцу его рабочего пространства, Notion считает, что действий пока не требуется.
Что проверить ИТ-командам
Практический минимум для затронутых организаций — не ограничиваться чтением уведомления. Нужно определить, попадали ли в чаты Notion AI учётные данные, ключи API, токены, пароли, ссылки с авторизационными параметрами или другие секреты. Всё, что могло быть вставлено в диалог, стоит отозвать и перевыпустить: Notion прямо рекомендует сменить пароли, ключи API и иные учётные данные. Заодно полезно проверить журналы использования ключей и доступы сервисных аккаунтов за период после октябрьских инцидентов.
Для разработчиков эта утечка чатов Notion AI напоминает о неприятной особенности корпоративных ИИ-инструментов: поле ввода часто воспринимают как временный блокнот, хотя данные могут проходить через несколько поставщиков моделей, систем аналитики и контуров обучения. Политика «не вставлять секреты в чат» хороша только вместе с техническими ограничениями: секрет-сканированием, короткоживущими токенами, централизованным управлением ключами и понятным перечнем разрешённых ИИ-сервисов. Отдельного аудита заслуживают опциональные функции аналитики: именно они нередко создают дополнительные копии пользовательских данных.
История Notion показывает, что договорное обещание нулевого хранения данных не заменяет проверку архитектуры и цепочки подрядчиков. Чем активнее компании подключают внешние модели к рабочим знаниям, тем важнее становится вопрос не только о том, где работает модель, но и какие журналы, датасеты и сервисы наблюдаемости появляются вокруг неё. Утечка чатов Notion AI может стать ещё одним аргументом в пользу инвентаризации таких потоков данных — до того, как поставщик пришлёт очередное уведомление.
