Notion indique qu’un incident de sécurité chez Fireworks AI, fournisseur d’inférence IA, pourrait avoir exposé certaines conversations Notion AI

Notion indique qu’un incident de sécurité chez l’un de ses fournisseurs, Fireworks AI, pourrait concerner moins de 1 % des espaces de travail Notion. Dans son avis, Notion précise que certaines transcriptions de conversations Notion AI utilisées pour sa fonctionnalité Insights pourraient avoir été exposées. Elles seraient « non attribuables » : elles ne comporteraient ni le nom de leur auteur ni celui de l’espace de travail, et ne contiendraient pas les résultats des appels d’outils, comme le contenu des pages. Notion affirme qu’aucune autre donnée des espaces de travail n’est concernée. Au 10 novembre, le fil Hacker News consacré à cet avis comptait 62 points et 18 commentaires.

Chronologie présentée par Notion :

• Notion a pris connaissance de possibles incidents chez Fireworks au début du mois de novembre et a coupé ses connexions avec l’entreprise. Au 3 novembre, ses systèmes étaient déconnectés, ses données supprimées chez Fireworks et aucun trafic ne lui était plus envoyé.
• Le 6 novembre, Fireworks a informé Notion que des acteurs malveillants pourraient avoir accédé à des données de clients. Le 8 novembre, Fireworks a confirmé que le nouvel ensemble de données concernait Notion.
• Notion utilisait Fireworks pour des tâches de classification en arrière-plan d’Insights et comme fournisseur d’inférence pour des modèles à poids ouverts. Insights est désactivé pendant l’enquête et Notion ne propose plus de modèles à poids ouverts via Fireworks. Notion a également interrompu les entraînements ; selon l’entreprise, les participants à son programme d’accès anticipé avaient volontairement fourni des données pour tester des modèles spécialisés entraînés par Fireworks.

Notion a contacté les propriétaires des espaces de travail concernés, qui peuvent consulter les données dans la section « Examen de l’incident de sécurité » de l’application de bureau ou du site web. Les propriétaires d’espaces Enterprise reçoivent un fichier CSV et un CSV annoté ; les autres reçoivent un lien à partager avec les membres. Notion recommande de considérer les données comme exposées et de renouveler tout mot de passe, clé API ou autre identifiant que quelqu’un aurait collé dans Notion AI.