Fireworks AIが侵害され、Notion AIのチャット記録に不正アクセス

企業向けにAIモデルの学習と運用の基盤を提供するFireworks AIは、2026年10月に相次いで侵入を受け、そのうち1件が共同作業プラットフォームのNotionに波及しました。iThomeによると、Notion AIとの会話記録の一部が無断で閲覧され、Notionは影響を受けたのは全ワークスペースの約1%で、対象の顧客には通知済みだと説明しています。Notionは、侵害されたのは自社のシステムではなく、ほかの機能にも影響はないと強調しています。

全体像はまだ不完全です。The Registerによると、FireworksもNotionも、2件の侵入で合計何社の顧客が影響を受けたのかを公表していません。実際の規模は、現時点では不明です。

Fireworksで10月に2度の侵入

The RegisterとiThomeによると、Fireworksは10月6日に内部認証情報の不正使用を検知し、10月9日に公表しました。攻撃者が入手したのは、評価ジョブで使われる環境変数で、一部の顧客のAPIキーやトークンが含まれていました。当時、同社はモデル、データセット、学習データ、推論トラフィックへのアクセスの証拠は見つかっていないと説明していました。

2件目の侵入は10月24日に起きました。Fireworksの説明では、同社の研究開発用マシンをホスティングする第三者のクラウド事業者で前日の10月23日にセキュリティインシデントがあり、攻撃者はそれを足がかりに開発用マシンへ入り込み、無許可のワークロードを実行しました。Fireworksは、AIモデルへの無許可アクセスを転売する「LLMjacking」に関わる、金銭目的の犯罪者の関与を疑っています。ただしこれは同社の推測であり、確定した帰属ではありません。

11月9日の更新で、公表された範囲は大きく広がりました。影響を受けたデータは次のとおりです。

• リソースのメタデータ（識別子、表示名、説明、作成日時など）。
• 請求関連情報（請求先・配送先住所、請求書と支払いの履歴、アカウント残高）。
• 一部の顧客のデータセットと、不完全なモデルの重みデータ。

Fireworksは、クレジットカード番号は保存していないとしています。iThomeによると、デフォルトでデータを保持しないInference、Training SDK、Nexusの各サービスは、今のところ影響を受けた形跡がありません。CEOのLin QiaoはThe Registerに対し、ダウンロードの大半は一部だけで途中で止まっており、攻撃者の狙いは重みの窃取ではないようだと述べました。Fireworksは、Palo Alto NetworksのUnit 42チームと対応にあたり、認証情報の入れ替え、影響を受けたシステムの隔離、ネットワークアクセスの制限を行い、バッチ推論とデータセット学習向けのセルフサービスのアップロード・ダウンロード機能を一時停止しました。

Notionが把握したこと

Notionは、企業がNotion AIの利用状況を分析するための機能Insightsの会話分類と、オープンウェイトモデルの推論にFireworksを使っていました。iThomeによると、Notionが最初に通知を受けたのは11月2日で、当初の調査では、アクセスされたのはNotion AIの合成テストデータで顧客データは含まれないと判断していました。Fireworksは11月6日に顧客データの可能性を改めて通知し、11月8日にデータ範囲が確定して初めて、Notionはその中にInsightsが使うAI会話記録、つまりモデルの入力と出力が含まれていることに気づきました。

Notionは11月3日の時点でFireworksとの接続を切り、同社に保存していたデータを削除しています。現在はInsightsを停止し、オープンウェイトモデルの推論にFireworksを使うこともやめました。The Registerが引用した通知メール（RenderのCEO、Anurag Goel氏が共有）で、Notionは、一部の「特定できない」チャットセッションが露出した可能性があり、ワークスペース内のほかのデータには影響がないと伝えています。

チャット記録そのものに含まれる内容を除けば、そのチャットをあなたのワークスペース、ユーザー、会社に結びつける情報はありません。

問題はここにあります。影響を受けたワークスペースの会話記録の大半にはユーザーやワークスペースの情報が付いていませんが、会話の中身そのものに個人を特定できる情報や機密が含まれている可能性があり、Redditのユーザーもその点を指摘しています（The Registerによる）。Notionは影響を受けたワークスペースが該当データを確認できるようにし、AIとの会話にパスワードやAPIキーなどの機密を入力した人には、早めに変更するよう呼びかけています。

The Registerが伝えるBloombergの報道によると、FireworksはCursorやHarveyなどの顧客とも、影響の評価を進めています。その結果は、本稿執筆時点では公表されていません。

日本企業にとっての意味

Notion AI、あるいは外部の委託先がホスティングするモデルに依存するツールを使う日本企業にとって、教訓は具体的です。AIとの会話が、名前も知らない下流の事業者を経由しているかもしれません。利用中のソフトウェア事業者に、AI関連の再委託先の一覧とデータ保持方針を求め、特に初期設定でデータを保持しないかどうかを確認してください。

すぐにできることは三つあります。自社のワークスペースにNotionからの通知が届いていないか確認すること、AIチャットに貼り付けたAPIキーやパスワードをすべて変更すること、そして個人情報の担当者とともに、その会話に個人情報が含まれていなかったかを評価し、社内での対応を決めることです。長期的には、事後の削除に頼るより、機密情報や個人情報をAIとの会話に貼り付けないという明確なルールを設けるほうが確実です。