A Notion confirmou em 8 de novembro de 2026 que um incidente de segurança na Fireworks AI expôs transcrições de conversas do Notion AI de menos de 1% dos workspaces de clientes. A Fireworks é a fornecedora que executava as tarefas de classificação do recurso Insights e servia modelos de pesos abertos dentro do produto. A Notion afirma que os próprios sistemas não foram invadidos.
A sequência começou na noite de 2 de novembro, quando a Fireworks avisou a Notion sobre acesso de atacantes a um pequeno conjunto de dados. A revisão inicial encontrou apenas dados sintéticos de teste. Na manhã de 3 de novembro a Notion desconectou seus sistemas da fornecedora e apagou os dados armazenados lá. Em 6 de novembro veio um novo alerta, e em 8 de novembro a confirmação das transcrições de clientes.
Segundo o aviso de segurança da Notion, a maioria das transcrições não tinha atribuição, sem rótulo de autor nem de workspace, e não incluía resultados de chamadas de ferramentas. A empresa afirma que não há informação que ligue as conversas a usuários ou a empresas. O conteúdo digitado pelo usuário, porém, pode identificar pessoas e organizações por si mesmo.
A Notion desativou temporariamente o Insights e parou de servir modelos pela Fireworks. A empresa contatou os clientes afetados com instruções de revisão e recomenda a troca de senhas, chaves de API e outras credenciais que tenham sido coladas no Notion AI durante o período do incidente.
A Fireworks detectou em 6 de outubro o uso indevido de credenciais internas que deu a um terceiro acesso a variáveis de ambiente de trabalhos de avaliação, e divulgou o caso em 10 de outubro. Na ocasião havia evidência apenas de captura de chaves de API e tokens guardados como segredos. Em 23 de outubro o atacante alcançou o ambiente de desenvolvimento por um provedor de nuvem terceiro, e no dia seguinte executou carga de trabalho não autorizada.
O boletim mais recente da Fireworks amplia o alcance para metadados de recursos, informações de faturamento com endereços de cobrança e entrega, histórico de faturas e pagamentos, saldo e uso de crédito, além de um subconjunto de pesos de modelos incompletos e de datasets de certos clientes. A empresa afirma que não armazena número de cartão e que esse dado não foi afetado.
A Fireworks atribui a atividade a um grupo cibercriminoso com motivação financeira, voltado a vender tokens de acesso a modelos de linguagem para gateways ilícitos de roteamento. A prática é conhecida como LLMjacking e consiste em sequestrar o modelo da vítima com credenciais roubadas, deixando a conta para o dono legítimo. Um alerta divulgado na semana passada aponta aumento desse tipo de ataque contra infraestrutura de IA na América do Sul e em outras regiões.
