Fireworks AI gehackt: gesprekken met Notion AI onbevoegd ingezien

Fireworks AI, dat bedrijven de infrastructuur levert om AI-modellen te trainen en te draaien, kreeg in oktober 2026 te maken met twee inbraken, en een daarvan raakt het samenwerkingsplatform Notion. Volgens iThome zijn enkele gespreksgeschiedenissen met Notion AI onbevoegd ingezien; Notion meldt dat circa 1% van zijn werkruimtes is getroffen en dat de betrokken klanten zijn gewaarschuwd. Notion benadrukt dat niet de eigen systemen zijn gehackt en dat de overige functies niet zijn aangetast.

Het beeld blijft onvolledig: volgens The Register hebben noch Fireworks noch Notion bekendgemaakt hoeveel klanten in totaal door de twee inbraken zijn geraakt. De werkelijke omvang is voorlopig dus onbekend.

Twee inbraken bij Fireworks in oktober

Volgens The Register en iThome ontdekte Fireworks op 6 oktober dat interne inloggegevens onbevoegd waren gebruikt en maakte dat op 9 oktober bekend. De aanvallers hadden omgevingsvariabelen van evaluatietaken buitgemaakt, waaronder API-sleutels en tokens van sommige klanten. Destijds zei het bedrijf geen aanwijzingen te hebben gevonden voor toegang tot modellen, datasets, trainingsdata of inferentieverkeer.

Een tweede aanval vond plaats op 24 oktober. Fireworks legt uit dat een externe cloudaanbieder die zijn onderzoeks- en ontwikkelmachines host de dag ervoor, op 23 oktober, een beveiligingsincident had gehad, en dat de aanvallers daarmee ontwikkelmachines binnendrongen en een onbevoegde workload draaiden. Fireworks vermoedt financieel gemotiveerde criminelen die verband houden met 'LLMjacking', het doorverkopen van onbevoegde toegang tot AI-modellen. Dat is een vermoeden van het bedrijf, geen vaststaande toeschrijving.

De update van 9 november vergroot de reikwijdte aanzienlijk. De getroffen gegevens omvatten:

• resourcemetadata (identificatoren, weergavenamen, beschrijvingen, aanmaaktijden);
• factuurgegevens: factuur- en verzendadressen, factuur- en betalingsgeschiedenis, accountsaldi;
• bij sommige klanten datasets en onvolledige modelgewichten.

Fireworks stelt dat het geen kaartnummers opslaat. Volgens iThome vertonen de diensten Inference, Training SDK en Nexus, die standaard zonder gegevensbewaring werken, vooralsnog geen tekenen van aantasting. Ceo Lin Qiao zei tegen The Register dat de aanvallers niet uit lijken te zijn op modelgewichten, omdat de meeste downloads gedeeltelijk waren en stopten. Fireworks schakelde het Unit 42-team van Palo Alto Networks in, verving inloggegevens, isoleerde getroffen systemen, beperkte de netwerktoegang en schortte zelfbediening-uploads en -downloads voor batchinferentie en datasettraining op.

Wat Notion ontdekte

Notion gebruikte Fireworks voor de classificatie van gesprekken in zijn functie Insights, die bedrijven helpt het gebruik van Notion AI te analyseren, en om modellen met open gewichten te draaien. Volgens iThome kreeg Notion op 2 november een eerste melding; de eerste analyse concludeerde dat het om synthetische testdata zonder klantgegevens ging. Fireworks stuurde op 6 november een nieuwe waarschuwing, en pas op 8 november bevestigde Notion dat de data AI-gespreksgeschiedenissen bevatte, met de invoer en uitvoer van de modellen.

Notion had de verbinding met Fireworks al op 3 november verbroken en de daar opgeslagen gegevens verwijderd. Insights is uitgeschakeld en voor inferentie met open modellen gebruikt Notion Fireworks niet meer. In een door The Register geciteerde e-mail, gedeeld door Render-ceo Anurag Goel, schrijft Notion dat enkele 'niet-toewijsbare' chatsessies mogelijk zijn blootgesteld en dat er verder niets in de werkruimte is geraakt.

Buiten wat in het chattranscript zelf staat, is er geen informatie die de chat terugkoppelt aan uw werkruimte, gebruikers of bedrijf.

Dat is het gevoelige punt: hoewel de meeste transcripten geen gebruikers- of werkruimte-id dragen, kan een gesprek zelf identificerende of gevoelige informatie bevatten, zoals Reddit-gebruikers volgens The Register opmerkten. Notion laat getroffen werkruimtes de gegevens inzien en raadt gebruikers die wachtwoorden of API-sleutels in een chat hebben getypt aan die snel te wijzigen.

Volgens Bloomberg, overgenomen door The Register, werkt Fireworks ook met andere klanten, onder wie Cursor en Harvey, aan het inschatten van de gevolgen. De uitkomst van die beoordelingen was bij het schrijven niet bekend.

Wat dit verandert voor een Nederlands bedrijf

Voor een Nederlands bedrijf dat Notion AI gebruikt, of een ander hulpmiddel op basis van modellen die een onderaannemer host, is de les concreet: uw gesprekken met de AI kunnen via een leverancier lopen waarvan u de naam niet kent. Vraag uw softwareleveranciers om de lijst van hun AI-subverwerkers en hun beleid voor gegevensbewaring, en controleer in het bijzonder of standaard niets wordt bewaard.

Drie directe stappen: nagaan of uw werkruimte een bericht van Notion heeft gekregen, elke API-sleutel of elk wachtwoord dat al in een AI-chat is geplakt wijzigen, en met wie de persoonsgegevens beheert beoordelen of er persoonsgegevens in die gesprekken stonden, om de interne vervolgstappen te bepalen. Op de lange termijn is een duidelijke regel beter dan achteraf verwijderen: plak nooit geheimen of persoonsgegevens in een AI-gesprek.