Le piratage de Fireworks AI expose des transcriptions de chats Notion AI : que doivent faire les équipes

Vous utilisez un assistant IA pratique dans votre outil de travail et pensez que vos données restent chez l'éditeur. En réalité, entre vous et le modèle se trouve souvent un autre sous-traitant, et derrière lui un fournisseur cloud. C'est précisément cette chaîne qui a failli dans l'affaire Notion et Fireworks AI.

Ce qui s'est passé

Notion a indiqué que Fireworks AI, fournisseur d'infrastructure pour l'IA, avait subi une fuite de transcriptions de chats Notion AI dans un petit nombre d'espaces de travail. Selon l'entreprise, le 23 octobre, un attaquant a obtenu l'accès à l'environnement de développement de Fireworks via un fournisseur cloud tiers. Les métadonnées de ressources, des informations de paiement, des poids de modèles et des jeux de données de certains clients ont été compromis.

Ce n'est pas le premier avertissement. Dès le début d'octobre, Fireworks avait déjà connu un incident similaire : des pirates avaient atteint des variables d'environnement contenant des clés API et des jetons pour un nombre limité de comptes. Autrement dit, en un mois, le même fournisseur a subi deux fuites.

La chronologie côté Notion se présente ainsi :

• Le 2 novembre, Fireworks a informé Notion de l'exposition d'un jeu de données qui, selon elle, ne contenait que des données de test synthétiques.
• Par précaution, Notion a bloqué le transfert de données vers Fireworks, supprimé tout ce qui se trouvait dans les systèmes du fournisseur et, au 3 novembre, arrêté les processus d'entraînement des modèles.
• Le 8 novembre, Fireworks a confirmé qu'il y avait bien eu un accès à des données clients, y compris des utilisateurs de Notion.

La conclusion initiale « il n'y a que du synthétique » s'est révélée fausse. Heureusement, Notion ne s'y est pas fiée et a coupé le flux de données en amont.

Pourquoi des chats se trouvaient là

Fireworks assure le fonctionnement de certains modèles à poids ouverts au sein de Notion AI. Elle analyse en outre les conversations enregistrées pour la fonction Insights : les administrateurs voient comment les équipes utilisent l'IA. Ce sont précisément les transcriptions traitées pour Insights qui ont fuité. Cette fonction est actuellement désactivée.

Selon Notion, les chats n'indiquaient pas qui les avait tenus ni de quel espace de travail ils provenaient. Les résultats d'appels d'outils (tool call results) ne figuraient pas non plus dans les transcriptions. Toutefois, le texte des messages est resté, et les gens collent n'importe quoi dans le chat avec l'assistant : des extraits de code, des clés d'accès, des mots de passe, un morceau d'échange avec un client. L'anonymisation des métadonnées n'y change rien si le secret figure directement dans le texte du message.

Selon les termes du contrat, Fireworks n'aurait pas dû conserver les données de Notion du tout. Le contrat l'interdisait, et les données ont pourtant été retrouvées. Les garanties sur papier, sans vérification technique, fonctionnent mal.

Que faire dès maintenant

L'ampleur est limitée : moins de 1 % des utilisateurs sont touchés. Notion conseille aux propriétaires d'espaces de travail d'ouvrir la section « Revue des incidents de sécurité » (Security incident review) dans la version web pour ordinateur et de transmettre aux membres le lien leur permettant de télécharger leurs transcriptions. Les personnes concernées doivent changer leurs mots de passe, clés API et tous les identifiants saisis dans les chats touchés. Si ni l'utilisateur ni le propriétaire de l'espace n'ont reçu de notification, aucune action n'est requise pour le moment.

Pour ceux qui conçoivent des produits d'IA, la leçon dépasse un seul incident :

• Cartographiez vos sous-traitants. Déterminez par quels serveurs transitent les prompts et les réponses, où ils sont stockés et pourquoi. L'analytique sur les conversations constitue un canal de fuite à part.
• Gardez un coupe-circuit. Notion a pu bloquer rapidement le transfert de données. Vérifiez que vous pouvez, vous aussi, désactiver un fournisseur sans casser le produit.
• Ne croyez pas sur parole l'affirmation « les données sont synthétiques ». Demandez des preuves et envisagez le pire scénario tant qu'il n'est pas écarté.
• Ne stockez pas de superflu. Si les conversations ne servent qu'à l'analytique, réduisez la durée de conservation et supprimez les secrets évidents avant l'envoi au sous-traitant.
• Formez les utilisateurs, et vous-même. On ne colle pas de clés ni de mots de passe dans le chat avec l'assistant. Si c'est déjà fait, il faut les renouveler.

Limites et contexte

On ignore quelle quantité de données les attaquants ont vue et s'ils les ont utilisées. On sait seulement que l'accès aux données clients est confirmé. Les autres clients de Fireworks ont pu être touchés aussi. Notion parle de ses utilisateurs, et l'ampleur de l'incident chez le fournisseur lui-même reste pour l'instant opaque.

Il y a une ironie supplémentaire : en mai, Notion a lancé une plateforme pour développeurs avec la fonction Workers, où les clients écrivent leur propre logique et l'exécutent dans un bac à sable sécurisé, sans dépendre d'une infrastructure externe. Plus il y a d'agents IA et d'automatisations au sein du produit, plus il est important de savoir où s'arrête votre périmètre et où commence celui des autres.