Invasão da Fireworks AI vaza transcrições de chats do Notion AI: o que as equipes devem fazer

Você usa um assistente de IA prático na sua ferramenta de trabalho e acredita que seus dados ficam com o fornecedor. Na prática, entre você e o modelo costuma haver mais um terceirizado e, atrás dele, um provedor de nuvem. Foi exatamente essa cadeia que falhou no caso da Notion e da Fireworks AI.

O que aconteceu

A Notion informou que a Fireworks AI, fornecedora de infraestrutura para IA, teve vazamento de transcrições de chats do Notion AI em um pequeno número de espaços de trabalho. Segundo a empresa, em 23 de outubro um invasor obteve acesso ao ambiente de desenvolvimento da Fireworks por meio de um provedor de nuvem terceirizado. Foram comprometidos metadados de recursos, informações de pagamento, pesos de modelos e conjuntos de dados de alguns clientes.

Não é o primeiro alerta. Já no início de outubro, a Fireworks havia enfrentado um incidente semelhante: hackers chegaram a variáveis de ambiente com chaves de API e tokens de um número limitado de contas. Ou seja, em um mês, o mesmo fornecedor sofreu dois vazamentos.

A cronologia segundo a Notion é esta:

• Em 2 de novembro, a Fireworks notificou a Notion sobre a exposição de um conjunto de dados que, segundo ela, continha apenas dados de teste sintéticos.
• Por precaução, a Notion bloqueou o envio de dados à Fireworks, apagou tudo dos sistemas da fornecedora e, até 3 de novembro, interrompeu os processos de treinamento de modelos.
• Em 8 de novembro, a Fireworks confirmou que houve, sim, acesso a dados de clientes, incluindo usuários da Notion.

A conclusão inicial de que «lá só há dados sintéticos» se mostrou errada. Ainda bem que a Notion não confiou nela e cortou o fluxo de dados antecipadamente.

Por que os chats estavam lá

A Fireworks viabiliza o funcionamento de alguns modelos de pesos abertos dentro do Notion AI. Além disso, ela analisa diálogos salvos para a função Insights: os administradores veem como as equipes usam a IA. Vazaram justamente as transcrições processadas para o Insights. No momento, essa função está desativada.

Segundo a Notion, os chats não indicavam quem os conduziu nem de qual espaço de trabalho vinham. Também não havia resultados de chamadas de ferramentas (tool call results) nas transcrições. Mas o texto das mensagens permaneceu, e as pessoas colam qualquer coisa no chat com o assistente: trechos de código, chaves de acesso, senhas, partes de conversas com clientes. A anonimização dos metadados não ajuda se o segredo estiver no próprio texto da mensagem.

Pelos termos do contrato, a Fireworks nem deveria armazenar dados da Notion. O contrato proibia, e os dados foram encontrados mesmo assim. Garantias em papel, sem verificação técnica, funcionam mal.

O que fazer agora

A escala é pequena: menos de 1% dos usuários foi afetado. A Notion recomenda que os proprietários dos espaços de trabalho abram a seção «Análise de incidentes de segurança» (Security incident review) na versão web para desktop e repassem aos membros o link para baixarem suas transcrições. Quem foi afetado deve trocar senhas, chaves de API e quaisquer credenciais que tenha digitado nos chats comprometidos. Se nem o usuário nem o proprietário do espaço receberam notificação, por ora nenhuma ação é necessária.

Para quem constrói produtos de IA, a lição vai além de um único incidente:

• Mapeie os subcontratados. Descubra por quais servidores passam prompts e respostas, onde ficam armazenados e para quê. A análise sobre os diálogos é um canal de vazamento à parte.
• Tenha um botão de emergência. A Notion conseguiu bloquear rapidamente o envio de dados. Verifique se você também consegue desligar um fornecedor sem quebrar o produto.
• Não aceite de imediato a afirmação de que «os dados são sintéticos». Peça comprovação e assuma o pior cenário até que ele seja descartado.
• Não guarde o que não precisa. Se os diálogos servem apenas para análise, reduza o prazo de retenção e remova segredos óbvios antes de enviá-los ao fornecedor.
• Eduque os usuários e a si mesmo. Chaves e senhas não devem ser coladas no chat com o assistente. Se já foram, é preciso rotacioná-las.

Limitações e contexto

Não se sabe quantos dados os atacantes viram nem se os utilizaram. Só se sabe que o acesso a dados de clientes foi confirmado. Outros clientes da Fireworks também podem ter sido afetados. A Notion fala de seus usuários, e a escala do incidente no próprio fornecedor continua pouco transparente.

Há ainda uma ironia: em maio, a Notion lançou uma plataforma para desenvolvedores com a função Workers, em que os clientes escrevem a própria lógica e a executam em um sandbox protegido, sem depender de infraestrutura externa. Quanto mais agentes de IA e automações vivem dentro do produto, mais importante é saber onde termina o seu perímetro e onde começa o de terceiros.