پلتفرم فضای کاری دیجیتال Notion اعلام کرد که یک رخنه امنیتی (Security Breach) در زیرساخت هوش مصنوعی Fireworks AI، منجر به افشای بخشی از تاریخچه چت‌های کاربران Notion AI در تعداد محدودی از محیط‌های کاری (Workspaces) شده است.
این افشاگری پس از آن صورت گرفت که Fireworks AI تأیید کرد مهاجمان در تاریخ ۲۳ اکتبر از طریق یک ارائه‌دهنده ابری شخص ثالث (Third-party Cloud Provider) به محیط توسعه (Development Environment) این شرکت دسترسی پیدا کرده و متادیتای منابع، اطلاعات صورت‌حساب، وزن‌های مدل (Model Weights) و مجموعه‌داده‌های (Datasets) برخی از مشتریان را مورد سوءاستفاده قرار داده‌اند.
Fireworks AI پیش از این نیز در اوایل اکتبر با رخنه دیگری مواجه شده بود که در آن هکرها به متغیرهای محیطی (Environment Variables) حاوی کلیدهای API و توکن‌های ذخیره شده دسترسی پیدا کردند.
Notion پس از دریافت هشدار از سوی Fireworks در تاریخ ۲ نوامبر، بلافاصله واکنش نشان داد. این شرکت با قطع ترافیک ارسالی به Fireworks، حذف تمامی داده‌ها از سیستم‌های این فروشنده و متوقف کردن فرآیندهای آموزش مدل (Training Runs) تا تاریخ ۳ نوامبر، اقدامات امنیتی لازم را انجام داد. با این حال، Fireworks در تاریخ ۸ نوامبر تأیید کرد که داده‌های مشتریان، از جمله کاربران Notion، مورد دسترسی قرار گرفته است.
تحلیل‌ها نشان می‌دهد که داده‌های افشا شده مربوط به مجموعه داده “Insights” بوده است که اکنون غیرفعال شده است. طبق اعلام Notion، این چت‌ها فاقد قابلیت انتساب (Unattributable) بودند؛ به این معنا که چت‌ها با نام نویسنده یا محیط کاری خاصی برچسب‌گذاری نشده بودند و نتایج فراخوانی ابزار (Tool Call Results) نیز در آن‌ها موجود نبود.
بر اساس گزارش‌ها، کمتر از ۱ درصد از کاربران Notion تحت تأثیر این حادثه قرار گرفته‌اند. Notion توصیه می‌کند کاربرانی که احتمال می‌دهند اطلاعات حساس، رمزهای عبور (Passwords)، کلیدهای API یا سایر اعتبارنامه‌ها (Credentials) را در چت‌های آسیب‌پذیر وارد کرده باشند، فوراً این موارد را تغییر دهند (Rotate).