Fireworks AI gehackt: Notion-KI-Chats unbefugt eingesehen

Fireworks AI, das Unternehmen die Infrastruktur zum Trainieren und Betreiben von KI-Modellen liefert, hat im Oktober 2026 zwei Einbrüche erlebt, und einer davon trifft die Kollaborationsplattform Notion. Laut iThome wurden einzelne Chatverläufe mit Notion AI unbefugt eingesehen; Notion gibt an, dass rund 1 % seiner Workspaces betroffen sind und die betroffenen Kunden informiert wurden. Notion betont, dass nicht die eigenen Systeme kompromittiert wurden und die übrigen Funktionen unberührt sind.

Das Bild bleibt lückenhaft: Laut The Register haben weder Fireworks noch Notion veröffentlicht, wie viele Kunden insgesamt von den beiden Einbrüchen betroffen sind. Das tatsächliche Ausmaß ist daher vorerst unbekannt.

Zwei Einbrüche bei Fireworks im Oktober

Laut The Register und iThome entdeckte Fireworks am 6. Oktober die unbefugte Nutzung interner Zugangsdaten und machte dies am 9. Oktober öffentlich. Die Angreifer hatten Umgebungsvariablen aus Evaluierungsjobs erbeutet, darunter API-Schlüssel und Tokens einiger Kunden. Damals erklärte das Unternehmen, es gebe keine Hinweise auf Zugriffe auf Modelle, Datensätze, Trainingsdaten oder Inferenzverkehr.

Ein zweiter Angriff fand am 24. Oktober statt. Fireworks erklärt, ein externer Cloud-Anbieter, der seine Forschungs- und Entwicklungsrechner hostet, sei am Vortag, dem 23. Oktober, von einem Sicherheitsvorfall betroffen gewesen; die Angreifer hätten dies genutzt, um in Entwicklungsrechner einzudringen und eine unbefugte Arbeitslast auszuführen. Fireworks vermutet finanziell motivierte Kriminelle aus dem Umfeld des „LLMjacking“, also des Weiterverkaufs unbefugter Zugänge zu KI-Modellen. Das ist eine Vermutung des Unternehmens, keine gesicherte Zuordnung.

Das Update vom 9. November erweitert den Umfang deutlich. Zu den betroffenen Daten gehören:

• Ressourcen-Metadaten (Kennungen, Anzeigenamen, Beschreibungen, Erstellungszeiten);
• Abrechnungsinformationen: Rechnungs- und Lieferadressen, Rechnungs- und Zahlungshistorie, Kontostände;
• bei einigen Kunden Datensätze und unvollständige Modellgewichte.

Fireworks stellt klar, dass es keine Kartennummern speichert. Laut iThome zeigen die standardmäßig ohne Datenspeicherung arbeitenden Dienste Inference, Training SDK und Nexus bislang keine Anzeichen einer Betroffenheit. Konzernchef Lin Qiao sagte The Register, die Angreifer seien offenbar nicht auf Modellgewichte aus, da die meisten Downloads nur teilweise erfolgten und abbrachen. Fireworks holte das Team Unit 42 von Palo Alto Networks hinzu, tauschte Zugangsdaten aus, isolierte betroffene Systeme, beschränkte den Netzwerkzugriff und setzte Self-Service-Uploads und -Downloads für Batch-Inferenz und Datensatz-Training aus.

Was Notion herausfand

Notion nutzte Fireworks für die Klassifizierung von Unterhaltungen in seiner Funktion Insights, die Unternehmen bei der Analyse der Notion-AI-Nutzung hilft, und für den Betrieb von Modellen mit offenen Gewichten. Laut iThome wurde Notion am 2. November erstmals gewarnt; die erste Analyse kam zu dem Schluss, es handle sich um synthetische Testdaten ohne Kundendaten. Fireworks meldete sich am 6. November erneut, und erst am 8. November bestätigte Notion, dass die Daten KI-Chatverläufe samt Ein- und Ausgaben der Modelle enthielten.

Notion hatte die Verbindung zu Fireworks bereits am 3. November gekappt und die dort gespeicherten Daten gelöscht. Insights ist deaktiviert, und für Inferenz mit offenen Modellen nutzt Notion Fireworks nicht mehr. In einer von The Register zitierten E-Mail, die Render-Chef Anurag Goel teilte, schreibt Notion, dass einzelne „nicht zuordenbare“ Chatsitzungen offengelegt worden sein könnten und nichts sonst im Workspace betroffen sei.

Über den Inhalt des Chatprotokolls selbst hinaus gibt es keine Informationen, die den Chat mit Ihrem Workspace, Ihren Nutzern oder Ihrem Unternehmen verbinden.

Hier liegt der heikle Punkt: Auch wenn die meisten Protokolle weder Nutzer- noch Workspace-Kennung tragen, kann eine Unterhaltung selbst identifizierende oder sensible Angaben enthalten, wie Reddit-Nutzer laut The Register anmerkten. Notion lässt betroffene Workspaces die Daten einsehen und rät Nutzern, die Passwörter oder API-Schlüssel in einen Chat eingegeben haben, diese rasch zu ändern.

Laut Bloomberg, von The Register wiedergegeben, arbeitet Fireworks auch mit weiteren Kunden, darunter Cursor und Harvey, an der Abschätzung der Folgen. Das Ergebnis dieser Prüfungen war bei Redaktionsschluss nicht bekannt.

Was das für ein deutsches Unternehmen ändert

Für ein deutsches Unternehmen, das Notion AI oder ein anderes Werkzeug auf Basis von bei Unterauftragnehmern gehosteten Modellen nutzt, ist die Lehre konkret: Ihre Gespräche mit der KI können über einen Dienstleister laufen, dessen Namen Sie nicht kennen. Fordern Sie von Ihren Softwareanbietern die Liste ihrer KI-Unterauftragsverarbeiter und ihre Richtlinie zur Datenspeicherung an und prüfen Sie insbesondere, ob standardmäßig keine Daten gespeichert werden.

Drei Sofortmaßnahmen: prüfen, ob Ihr Workspace eine Benachrichtigung von Notion erhalten hat, jeden bereits in einen KI-Chat eingefügten API-Schlüssel oder jedes Passwort ändern und mit der für personenbezogene Daten zuständigen Person bewerten, ob in diesen Gesprächen personenbezogene Angaben standen, um die internen Schritte festzulegen. Langfristig ist eine klare Regel besser als nachträgliches Löschen: keine Geheimnisse und keine personenbezogenen Daten in KI-Chats einfügen.