Notion confirmó que conversaciones con su asistente de IA quedaron expuestas tras un ataque informático

Notion, plataforma de productividad colaborativa, confirmó que conversaciones de usuarios con Notion AI, su asistente de inteligencia artificial, quedaron expuestas tras un ataque informático a Fireworks, la empresa que le proveía infraestructura. La compañía afirma que el incidente alcanzó a menos del 1% de sus espacios de trabajo y que sus propios sistemas no fueron vulnerados.

Según el aviso de seguridad de la aplicación, los datos robados incluyen transcripciones de chats usadas en Insights, una función que permite a los administradores ver cómo su equipo usa la herramienta. La empresa desactivó esa función mientras investiga y dejó de usar Fireworks para ejecutar modelos de código abierto dentro de su producto.

La compañía precisó que, en la gran mayoría de los espacios afectados, las transcripciones son “no atribuibles”: no indican quién escribió el mensaje ni a qué espacio pertenece. Tampoco contienen los resultados de las herramientas que el asistente consulta. Notion aclaró que no hay otra información que vincule cada chat con usuarios o empresas, más allá del texto de la conversación.

Ese texto, sin embargo, es lo que cada persona escribió. Si alguien pegó datos internos, contraseñas o claves de acceso, esa información puede estar en manos de los atacantes. Por eso la plataforma recomienda tratar esos datos “como si hubieran sido expuestos” y cambiar las credenciales que se hayan ingresado en el asistente durante el período del incidente.

Cómo se fue ampliando el alcance

Según la cronología de Notion, el 2 de noviembre Fireworks le avisó de que atacantes habían accedido a un conjunto pequeño de datos. El análisis inicial indicó que eran datos sintéticos de prueba, sin información de clientes. Al día siguiente, Notion se desconectó de Fireworks y borró todos sus datos en esa plataforma.

El 6 de noviembre, Fireworks informó que los atacantes podrían haber accedido a datos de clientes. El 8 de noviembre confirmó el conjunto final de datos afectados, que incluía las transcripciones de Notion AI. El 9 de noviembre, Notion contactó a los clientes afectados. El 11 de noviembre, revocó claves de acceso a su API que encontró dentro de mensajes de usuarios afectados.

La empresa indicó que quien no recibió un aviso no fue identificado como afectado y que por ahora no debe hacer nada. La investigación sigue abierta y mencionaron que escribirán a cualquier cliente que luego identifique como afectado.

Los dueños de los espacios afectados pueden revisar los datos desde la sección de revisión de incidentes de seguridad, según detalló BleepingComputer. Desde ahí pueden compartir con los miembros un enlace para que cada uno descargue sus propias transcripciones.

El ataque a Fireworks, en dos fases

Fireworks, una empresa que permite a otras compañías ejecutar modelos de IA sin montar su propia infraestructura, informó el 9 de octubre de un primer incidente. Tras ese aviso, según su boletín actualizado el 9 de noviembre, descubrió que también se vieron afectados datos de facturación y, en un grupo limitado de cuentas, claves, conjuntos de datos y modelos incompletos.

La empresa dijo que un proveedor de nube que alojaba sus máquinas de desarrollo sufrió un incidente el 23 de octubre. Al día siguiente, un tercero no autorizado usó ese acceso para llegar a esas máquinas y ejecutar una carga de trabajo que afectó a más clientes. Fireworks afirmó que detectó la actividad el mismo día.

La compañía atribuye los hechos a un grupo criminal con motivación económica que busca vender acceso a modelos de lenguaje a redes ilegales, una práctica conocida como LLMjacking.

Fireworks dijo que no detectó impacto en sus servicios de inferencia, es decir, la ejecución de modelos, que por defecto no conservan datos. Notion sostuvo que la firma se había comprometido por contrato a no retener sus datos. El aviso no explica por qué esas transcripciones estaban almacenadas.

Bloomberg Law informó el 9 de noviembre de que Fireworks, respaldada por Nvidia y con más de 10.000 clientes según su sitio web, trabajaba con Notion, Cursor y otros clientes para manejar el incidente. La investigación continúa y, según su boletín, podría revelar más información sobre el alcance del ataque.