Notion meldt dat klantinformatie is gecompromitteerd bij een incident rond Fireworks AI hack. Het gaat om een kleine set klanten, maar het lek raakt wel het AI-gebruik binnen Notion: transcripten van chats die zijn gebruikt voor de Insights-functie.
Fireworks AI is een cloudplatform voor het uitvoeren en bijschaven (fine-tuning) van open-source AI-modellen. Volgens de beschikbare informatie is Fireworks AI in oktober twee keer geraakt, met verschillende routes naar toegang.
Wat er speelde bij de Fireworks AI hack
De eerste besmettingsroute zou hebben gelopen via gecompromitteerde interne inloggegevens. Later volgde een tweede incident, waarbij Fireworks R&D-machines werden gehost door een externe partij. In dat tweede geval voerden aanvallers volgens het bericht een ongeautoriseerde workload uit, waarna klantdata toegankelijk werd.
Dat tweede incident wordt in verband gebracht met de recente toename van LLMJacking—misbruik waarbij systemen worden gebruikt om onbedoeld (en vaak ongeautoriseerd) AI-activiteiten uit te voeren of door te sturen.
Wanneer werd het misbruik ontdekt?
Het bericht specificeert dat de tweede gebeurtenis plaatsvond op 24 oktober. Fireworks zou het incident dezelfde dag hebben ingeperkt. Vervolgens liet Notion op 2 november weten dat Notion AI-data was benaderd.
Voor het incident gebruikte Notion Fireworks in algemene zin als inference provider om open-weight modellen aan te bieden. Daarmee lag er een koppeling tussen de Notion AI-werkstroom en de infrastructuur van Fireworks.
Welke Notion-data was toegankelijk?
Uit het onderzoek van Notion blijkt dat de aanvallers toegang kregen tot AI-chattranscripten die horen bij de Insights functie. Die functie helpt klanten om beter te begrijpen hoe zij AI binnen Notion gebruiken.
Notion geeft aan dat minder dan 1% van de werkruimtes is getroffen. Ook zegt het bedrijf dat het grootste deel van de transcripten naar alle waarschijnlijkheid niet (eenduidig) te herleiden was naar een specifieke klant of werkruimte.
Volgens Notion geldt: buiten wat in het chattranscript zelf staat, ontbreekt informatie die de chat automatisch verbindt aan werkruimtes, gebruikers of bedrijven. Dat wijst op een beperking in de manier waarop de data is gelabeld of gekoppeld.
Waarom Notion adviseert om data als blootgesteld te behandelen
Notion heeft getroffen klanten benaderd met instructies om de data veilig op te halen en te controleren. Daarbij stelt het bedrijf expliciet dat gebruikers de gegevens moeten beschouwen als blootgesteld.
De kern van het advies: als klanten in Notion AI tijdens het incident gevoelige informatie hebben geplakt—zoals wachtwoorden, API-sleutels of andere credentials—dan moeten ze die direct roteren.
Praktische impact voor organisaties
Zelfs als de transcriptinformatie in veel gevallen niet herleidbaar lijkt tot een specifieke organisatie, blijft de risico-inschatting draaien om mogelijke inhoud in de chats. Denk aan incidenten waarbij gebruikers per ongeluk toegangstokens, wachtwoorden of interne gegevens delen in een AI-context.
Daarom is het advies om credentials te herzien niet alleen bedoeld voor “aanwijsbare” lekkage, maar voor elke situatie waarin gevoelige content kan zijn meegekomen in de chat die werd verwerkt.
Wat is LLMJacking en waarom dit incident daarmee samenhangt?
De tweede aanval wordt gekoppeld aan een stijging in LLMJacking-activiteit. In algemene zin gaat het om misbruik van AI-infrastructuur waarbij aanvallers ongeautoriseerd AI-processen uitvoeren of de workflow laten draaien op een manier die de oorspronkelijke eigenaar niet heeft gepland.
In dit geval zou de ongeautoriseerde workload hebben geleid tot compromittering van data, waardoor Notion later toegang bevestigd zag tot AI-chattranscripten.
Voor organisaties betekent dit dat beveiliging niet stopt bij “klassieke” datastromen. Ook de integraties tussen AI-diensten, inference providers en productfuncties (zoals Insights) moeten worden gezien als potentiële aanvalsvector.
Actiepunten voor Notion-gebruikers en security teams
Op basis van wat Notion heeft gecommuniceerd, zijn dit de belangrijkste stappen:
- Controleer of jouw werkruimte mogelijk is geraakt, en volg de instructies van Notion voor veilige toegang.
- Behandel de betrokken data als blootgesteld, ook als de transcriptinhoud beperkt lijkt.
- Als er gevoelige gegevens in AI-chatberichten zijn geplakt, roteer wachtwoorden en API-sleutels die mogelijk zijn meegestuurd.
- Herzie intern beleid rondom wat gebruikers wel en niet mogen delen in AI-tools.
Wil je daarnaast breder kijken naar hoe AI- en werkplek-gerichte aanvallen in de praktijk uitpakken, lees dan ook wat er bekend is over LLMjacking en blootstelling van billingdata. Die achtergrond helpt om dit soort incidenten sneller te herkennen in signalen en patronen.
Context: vaker datalekken via werkplek- en provider-koppelingen
Dit incident laat zien hoe koppelingen tussen platforms—zoals Notion dat AI-inference afneemt—een extra schakelpunt vormen. Ook elders zie je dat aanvallen soms niet alleen op één product gericht zijn, maar op de keten eromheen.
Als je wilt vergelijken met andere recente gevallen waarin organisaties via externe diensten of infrastructuur werden geraakt, dan is de ScreenConnect malwarecampagne waarbij honderden hosts werden geraakt een relevant voorbeeld van hoe toegang via tooling kan escaleren.
Conclusie
De Fireworks AI hack heeft volgens Notion geleid tot toegang tot AI-chattranscripten van de Insights-functie bij een klein aantal klanten. Ondanks dat minder dan 1% van de werkruimtes is geraakt, is het advies van Notion duidelijk: behandel de data als blootgesteld en roteer eventuele credentials die tijdens het incident zijn gedeeld.
Voor securityteams is dit een reminder dat AI-integraties—en de infrastructuur daarachter—beveiligd moeten worden met hetzelfde gevoel voor ketenrisico dat ook geldt voor andere cloud- en software supply chain componenten.
Bron: https://www.securityweek.com/notion-customer-data-compromised-in-fireworks-ai-hack/
