La brecha de Fireworks AI filtra transcripciones de chats de Notion AI: qué deben hacer los equipos

Usas un cómodo asistente de IA en una herramienta de trabajo y das por hecho que tus datos viven en el proveedor. En la práctica, entre tú y el modelo suele haber otro contratista, y detrás de este, un proveedor de nube. Justo esa cadena falló en el caso de Notion y Fireworks AI.

Qué ocurrió

Notion informó de que Fireworks AI, proveedor de infraestructura para IA, sufrió una filtración de transcripciones de chats de Notion AI en un pequeño número de espacios de trabajo. Según la compañía, el 23 de octubre un atacante obtuvo acceso al entorno de desarrollo de Fireworks a través de un proveedor de nube externo. Quedaron comprometidos metadatos de recursos, información de pago, pesos de modelos y conjuntos de datos de algunos clientes.

No es el primer aviso. A principios de octubre, Fireworks ya había sufrido un incidente similar: unos hackers llegaron a variables de entorno con claves de API y tokens de un número limitado de cuentas. Es decir, un mismo proveedor sufrió dos filtraciones en un mes.

La cronología de Notion es la siguiente:

• El 2 de noviembre, Fireworks notificó a Notion la exposición de un conjunto de datos que, según afirmaba, contenía solo datos de prueba sintéticos.
• Por precaución, Notion bloqueó el envío de datos a Fireworks, eliminó todo de los sistemas del proveedor y, el 3 de noviembre, detuvo los procesos de entrenamiento de modelos.
• El 8 de noviembre, Fireworks confirmó que sí hubo acceso a datos de clientes, incluidos usuarios de Notion.

La conclusión inicial de que «solo hay datos sintéticos» resultó errónea. Por suerte, Notion no se fio de ella y cortó el flujo de datos con antelación.

Por qué había chats allí

Fireworks hace funcionar algunos modelos de pesos abiertos dentro de Notion AI. Además, analiza los diálogos guardados para la función Insights, con la que los administradores ven cómo usan la IA los equipos. Lo que se filtró fueron precisamente las transcripciones procesadas para Insights. Ahora esa función está desactivada.

Según Notion, los chats no indicaban quién los mantuvo ni de qué espacio de trabajo procedían. Tampoco había resultados de llamadas a herramientas (tool call results) en las transcripciones. Sin embargo, el texto de los mensajes permaneció, y la gente pega cualquier cosa en el chat con un asistente: fragmentos de código, claves de acceso, contraseñas, trozos de correspondencia con clientes. Anonimizar los metadatos no sirve de nada si el secreto está en el propio texto del mensaje.

Según el contrato, Fireworks ni siquiera debía almacenar datos de Notion. El contrato lo prohibía y, aun así, los datos aparecieron. Las garantías en papel, sin verificación técnica, funcionan mal.

Qué hacer ahora mismo

La escala es pequeña: afecta a menos del 1 % de los usuarios. Notion recomienda a los propietarios de espacios de trabajo abrir la sección «Revisión de incidentes de seguridad» (Security incident review) en la versión web de escritorio y compartir con los miembros el enlace desde el que podrán descargar sus transcripciones. Los afectados deben cambiar contraseñas, claves de API y cualquier credencial que hayan introducido en los chats implicados. Si ni el usuario ni el propietario del espacio recibieron una notificación, de momento no es necesario hacer nada.

Para quienes construyen productos de IA, la lección va más allá de un solo incidente:

• Haga un mapa de subcontratistas. Averigüe por los servidores de quién pasan los prompts y las respuestas, dónde se almacenan y para qué. La analítica sobre las conversaciones es un canal de fuga aparte.
• Tenga un interruptor de emergencia. Notion pudo bloquear rápidamente el envío de datos. Compruebe que usted también puede desconectar a un proveedor sin romper el producto.
• No se crea sin más lo de «los datos son sintéticos». Pida confirmación y asuma el peor escenario hasta que se descarte.
• No almacene de más. Si los diálogos solo hacen falta para analítica, reduzca el plazo de conservación y elimine los secretos evidentes antes de enviarlos al contratista.
• Forme a los usuarios y a usted mismo. Las claves y contraseñas no se pegan en el chat con un asistente. Si ya se pegaron, hay que rotarlas.

Limitaciones y contexto

Se desconoce cuántos datos vieron los atacantes y si los utilizaron. Solo se sabe que el acceso a datos de clientes está confirmado. Otros clientes de Fireworks también podrían haberse visto afectados. Notion habla de sus propios usuarios, mientras que la magnitud del incidente en el propio proveedor sigue sin estar clara.

Hay además una ironía: en mayo Notion lanzó una plataforma para desarrolladores con la función Workers, en la que los clientes escriben su propia lógica y la ejecutan en un entorno aislado seguro, sin depender de infraestructura externa. Cuantos más agentes de IA y automatizaciones viven dentro de un producto, más importante es saber dónde termina tu perímetro y dónde empieza el ajeno.