Notion 9 ноября раскрыла последствия взлома своего подрядчика Fireworks AI: злоумышленники могли получить часть стенограмм чатов Notion AI из менее чем 1% рабочих пространств. Компания уведомила владельцев пространств, которые сочла затронутыми.
Стенограммы использовались для Insights — функции, с помощью которой организации анализируют применение ИИ сотрудниками. По данным Notion, для подавляющего большинства затронутых пространств записи были «неатрибутируемыми»: в них не было меток с именем автора или названием рабочего пространства, а также результатов обращений ИИ к внешним инструментам. Дополнительных данных, связывающих переписку с конкретным пользователем или компанией, в выгрузке не было.
Однако обезличенность метаданных не защищает содержание самого разговора. Если сотрудник вставил в запрос пароль, API-ключ или другие конфиденциальные сведения, они могли сохраниться непосредственно в тексте. Поэтому Notion рекомендует считать попавшие в выгрузку данные раскрытыми и заменить указанные в них учётные данные.
Читайте также
Цепочка событий началась за пределами Notion. 23 октября неназванный облачный провайдер, размещавший машины Fireworks для исследований и разработки, столкнулся с инцидентом безопасности. На следующий день злоумышленники через него добрались до машин разработки Fireworks и запустили несанкционированную нагрузку.
Fireworks обнаружила активность 24 октября. Компания утверждает, что после 25 октября не выявляла новых успешных проникновений в используемую клиентами платформу. При этом доступ мог затронуть метаданные ресурсов, платёжные и учётные сведения, а для части клиентов — наборы данных, секреты и незавершённые модели. Номера банковских карт Fireworks не хранит, поэтому они не были раскрыты.
Вечером 2 ноября Fireworks сообщила Notion о доступе к небольшому набору данных. Первая проверка показала, что это были синтетические тестовые данные, а не информация клиентов. К утру 3 ноября Notion отключила свои системы от Fireworks, удалила находившиеся у подрядчика данные и остановила обмен информацией.
6 ноября Fireworks предупредила о возможном доступе уже к клиентским данным, а 8 ноября подтвердила новый набор со стенограммами Notion AI. Другие данные внутри рабочих пространств, по заявлению Notion, затронуты не были. Компания отключила Insights, прекратила запуск моделей с открытыми весами через Fireworks и остановила связанные с подрядчиком обучающие запуски.
Владельцы затронутых пространств могут открыть раздел Security incident review в боковом меню актуальной версии Notion для компьютера или веб-браузера. Там доступна CSV-выгрузка попавших под инцидент данных; на мобильных устройствах раздел не работает. Эти инструменты предусмотрены для пространств с управляемыми участниками. Если Notion не прислала владельцу уведомление, компания утверждает, что на данный момент не считает его пространство затронутым.
Инцидент важен не только пользователям Notion. Он показывает риск цепочки поставщиков корпоративного ИИ: текст запроса может покинуть основной сервис и обрабатываться инфраструктурным подрядчиком, а тот, в свою очередь, зависит от собственного облачного провайдера. Поэтому секреты, пароли и постоянные API-ключи не стоит передавать ИИ-сервису без понимания того, где и как сохраняются запросы.