Notion hat gestern seine Sicherheitsmitteilung zum Einbruch bei Fireworks AI aktualisiert, und der Nachtrag ist der unangenehmste Teil der ganzen Geschichte: In den geleakten Nutzernachrichten lagen API-Keys. Am 11. November hat Notion die eigenen gesperrt. Am 12. November hat das Unternehmen die gefundenen Keys fremder Anbieter an die Firmen gemeldet, die sie ausgegeben haben.
Betroffen sind nach Notions Angaben unter einem Prozent aller Workspaces. Angeschrieben wurden sie bereits; wer nichts gehört hat, gilt als nicht betroffen.
Der Zeitplan erklärt, warum es sechs Tage dauerte
Fireworks AI ist eine Inferenz-Plattform für offene Modelle, nach eigenen Angaben von Zehntausenden Kunden und Hunderttausenden Entwicklern genutzt. Notion hat sie für Klassifizierungsaufgaben hinter der Funktion „Insights“ eingesetzt und als allgemeinen Anbieter für Open-Weight-Modelle im eigenen Produkt.
Am Abend des 2. November meldete Fireworks, Angreifer hätten einen kleinen Datensatz erreicht. Die Prüfung ergab: synthetische Testdaten von Notion AI, keine Kundendaten. Am Morgen des 3. November trennte Notion vorsorglich alle Verbindungen zu Fireworks, am 4. November löschte es seine Daten im Fireworks-System. Am 6. November meldete Fireworks, dass Angreifer möglicherweise doch Kundendaten erreicht hätten. Am 8. November stand der endgültige Datensatz fest, am 9. November liefen die Benachrichtigungen an die betroffenen Kunden.
In diesem Datensatz steckten Chat-Transkripte von Notion AI aus der Insights-Funktion. Für die große Mehrheit der betroffenen Workspaces sind sie nach Notions Darstellung nicht zuordenbar: Es steht nicht dabei, wer sie geschrieben hat oder aus welchem Workspace sie kommen, und Rückgaben von Werkzeugaufrufen enthalten sie nicht. Was im Transkript selbst steht, steht allerdings drin.
Was Notion den Betroffenen empfiehlt
Die betroffenen Daten können Kunden in ihrem eigenen Workspace einsehen, die Anleitung kam per Mail. Notions Rat ist deutlich: Behandle diese Daten so, als wären sie öffentlich. Wer im betroffenen Zeitraum Passwörter, API-Keys oder andere Zugangsdaten in Notion AI eingefügt hat, soll sie wechseln. Die Insights-Funktion ist abgeschaltet, solange die Untersuchung läuft, und Open-Weight-Modelle liefert Notion nicht mehr über Fireworks aus.
Beim Angreifer ging es um Tokens
Laut Fireworks hat ein Angreifer den Cloud-Anbieter der Firma kompromittiert und von dort ein Entwicklungssystem erreicht, über das Kundendaten zugänglich waren. Mitgenommen wurden Abrechnungsdaten und einzelne Datensätze. Zu den Kunden zählen die Rechts-KI Harvey und Cursor. Fireworks hält die Täter für finanziell motiviert: Ihr Ziel sei der Weiterverkauf von Tokens aus gekapertem Modellzugang – Dritte verbrauchen dann Kontingente, die sie nie bezahlt haben. Für Fireworks ist es der zweite Einbruch binnen zweier Monate.
Zugangsdaten in einem KI-Chat gehen an jeden Dienstleister dahinter
Hier hat niemand Notions Systeme geknackt. Geknackt wurde der Cloud-Anbieter eines Inferenz-Anbieters, den Notion für eine einzige Funktion genutzt hat – und am Ende dieser Kette liegen Sätze, die Leute in ein Chatfenster getippt haben. Dass darunter Keys fremder Anbieter waren, zahlreich genug für eine eigene Meldeaktion, ist der Teil, den man im eigenen Team heute ansprechen sollte. Jede Zeile in einem KI-Chat liegt bei so vielen Firmen, wie der Anbieter Unterauftragnehmer hat, und diese Liste kennen die wenigsten.