Na een aanval via een externe cloudprovider heeft Fireworks AI nieuwe klantdata verloren. Daardoor lekten ook AI-chattranscripten van Notion uit.
Fireworks AI, een aanbieder van AI-infrastructuur, bevestigt dat hackers op 24 oktober via een externe cloudprovider bij zijn ontwikkelmachines raakten. Het is al de tweede inbreuk bij het bedrijf in korte tijd. Begin oktober kwamen aanvallers al aan geheimen zoals API-sleutels en tokens van een beperkt aantal accounts.
Notion, het platform voor notities en projectbeheer, meldde op 11 november dat de inbreuk ook zijn gebruikers raakt. Notion gebruikt Fireworks om een deel van de open-weight-modellen achter Notion AI te draaien.
Welke data is buitgemaakt
De aanvallers kwamen volgens Fireworks bij metadata van resources, zoals identificatienummers, namen, beschrijvingen en aanmaaktijdstippen. Ook factuurgegevens zaten in de getroffen interne toepassing: factuur- en verzendadressen, betalingsgeschiedenis, accountsaldo en kredietverbruik. Betaalkaartnummers slaat Fireworks niet op, die zijn dus niet gelekt.
Bij een beperkte groep klanten werden daarnaast geheimen, datasets en onvolledige modelgewichten ingekeken. Fireworks ziet geen impact op Inference, Training SDK en Nexus, omdat die standaard geen data bewaren (zero data retention). Het bedrijf benadrukt dat het onderzoek nog loopt.
Volgens Fireworks wijst het bewijs naar een financieel gedreven cybercriminele groep die toegang tot taalmodellen wil doorverkopen aan illegale routeringsgateways. Die praktijk heet LLMJacking. Google Threat Intelligence Group en Mandiant publiceerden op 2 november een blogbericht over de opmars ervan.
Notion schakelt Fireworks uit
Notion kreeg op 2 november een melding van Fireworks over een blootgestelde dataset die enkel synthetische testdata zou bevatten. Het bedrijf sneed daarop het verkeer naar Fireworks af, wiste alle data bij de leverancier en stopte de trainingsruns op 3 november. Op 8 november bevestigde Fireworks dat er toch klantdata was ingekeken, ook van Notion-gebruikers.
Het gaat om chattranscripten van Notion AI die dienden voor Insights, een functie die werkruimtebeheerders inzicht geeft in hoe teams AI gebruiken. Notion schakelde die dataset uit. Voor de meeste getroffen werkruimtes waren de transcripten volgens Notion niet toe te wijzen: ze bevatten geen naam van de schrijver of werkruimte, en ook geen resultaten van toolaanroepen. Fireworks had zich contractueel verbonden tot zero data retention voor Notion-data.
Volgens Notion is minder dan 1 procent van zijn gebruikers getroffen. Eigenaars van mogelijk getroffen werkruimtes kunnen de data bekijken via Security incident review in de webinterface op desktop en een link delen waarmee leden hun eigen transcripten downloaden. Wie noch zelf, noch via de werkruimte-eigenaar een melding kreeg, hoeft voorlopig niets te doen.
Maatregelen en wat nu volgt
Fireworks werkt met Unit 42 van Palo Alto Networks aan het forensisch onderzoek en lichtte de politie in. Het bedrijf vervangde inloggegevens en serviceaccounts, schrapte onnodige verhoogde rechten en isoleerde getroffen systemen. Ook de logging en monitoring werden versterkt.
Zelfbediende uploads en downloads van datasets voor Batch Inference en training op basis van datasets staan tijdelijk uit. Training SDK blijft beschikbaar zonder opslag van trainingsdata, en training via Fireworks Lab draait in een afgeschermde omgeving. Sinds 25 oktober ziet Fireworks geen nieuwe geslaagde toegang tot het platform dat klanten gebruiken.
Notion raadt getroffen gebruikers aan wachtwoorden, API-sleutels en andere inloggegevens te vervangen als ze die in een chat met Notion AI invoerden. Fireworks verwittigt de getroffen klanten rechtstreeks en belooft verdere updates over het onderzoek.