Fireworks AI遭黑客入侵波及Notion，约1%工作空间的AI对话记录被访问

为企业提供训练和运行AI模型基础设施的Fireworks AI，在2026年10月接连遭到入侵，其中一起事件波及云协作平台Notion。据iThome报道，部分Notion AI对话记录遭未经授权访问，Notion表示受影响的约占其工作空间的1%，并已通知相关客户。Notion强调，被入侵的不是自家系统，其他功能也未受影响。

整起事件的全貌目前仍不完整：据The Register报道，Fireworks与Notion都尚未公布两次入侵总共影响了多少客户，因此实际规模只能视为未知。

Fireworks十月两度遭入侵

据The Register与iThome，Fireworks在10月6日发现内部凭证遭未授权使用，并于10月9日首次披露。攻击者当时获取的是客户账号中评估任务所使用的环境变量，包括部分客户的API密钥与令牌。Fireworks当时表示，没有发现模型、数据集、训练数据或推理流量被访问的证据。

第二起入侵发生在10月24日。Fireworks说明，托管其研发机器的第三方云服务商在前一天（10月23日）发生安全事件，攻击者借此进入Fireworks的开发机器，并运行未经授权的工作负载，使更多客户数据受到影响。Fireworks怀疑与以牟利为目的、从事「LLMjacking」（倒卖未经授权的AI模型访问权）的犯罪团伙有关。这只是该公司的推测，并非已确立的归因。

11月9日的更新大幅扩大了已披露的范围，受影响数据包括：

• 资源元数据，例如资源标识符、显示名称、说明与创建时间；
• 账单与付款相关信息，包括账单与寄送地址、发票与付款记录、账户余额；
• 部分客户的数据集，以及不完整的模型权重数据。

Fireworks指出，公司并未存储客户的信用卡卡号。据iThome，默认采用零数据留存的Inference、Training SDK及Nexus服务，目前也未发现受影响。首席执行官Lin Qiao对The Register表示，攻击者的目的似乎不是窃取权重，因为多数下载只是部分文件且随即中止。Fireworks已与Palo Alto Networks旗下的Unit 42团队合作处置，更换相关凭证、隔离受影响系统、限制网络访问，并暂停批量推理与数据集训练所使用的自助上传与下载功能。

Notion发现了什么

Notion原本通过Fireworks执行Insights功能所需的对话分类工作，这项功能帮助企业分析Notion AI的使用情况；Notion也利用该平台提供开放权重模型的推理。据iThome，Notion在11月2日首次接到通报，初步调查认为被访问的数据是Notion AI的合成测试数据，不涉及客户数据。Fireworks在11月6日再度通知可能涉及客户数据，直到11月8日确认数据范围，Notion才发现其中包含Insights使用的AI对话记录，也就是写入记录的模型输入与输出。

Notion在11月3日已切断与Fireworks的连接，并删除存放在该平台的数据，目前也停用了Insights，不再通过Fireworks提供开放权重模型推理。据The Register引用的通知邮件（由Render首席执行官Anurag Goel公开分享），Notion告知客户，其工作空间属于可能受影响的不到1%之列，部分「无法归属的」对话可能泄露，工作空间内的其他数据则未受影响。

除了对话记录本身的内容之外，没有任何信息能将这段对话关联到你的工作空间、用户或公司。

问题在于：虽然多数受影响工作空间的对话记录没有标示用户或工作空间信息，但对话内容本身仍可能含有可识别身份或敏感的数据，Reddit上的用户也提出了这一点（据The Register）。Notion开放受影响工作空间查看相关数据，并提醒曾在AI对话中输入密码、API密钥等机密信息的用户尽快更换。

另据彭博社报道、由The Register转述，Fireworks也正与Cursor、Harvey等客户合作评估影响。这些评估的结果，截至本文撰写时尚未公开。

对中国企业的意义

对使用Notion AI、或任何依赖第三方托管模型的中国企业来说，这起事件的教训很具体：你与AI的对话，可能经过一家你根本不知道名字的下游供应商。建议向软件供应商索取其AI相关分包商的清单以及数据留存政策，尤其要确认是否默认零留存。

眼前可做的事有三件：确认贵公司的工作空间是否已收到Notion通知；立即更换任何曾粘贴进AI对话的密码与API密钥；并与负责个人信息的同事评估这些对话中是否含有个人信息，以决定后续的内部处理。长期而言，与其依赖事后删除，不如在制度上明确规定：机密与个人信息一律不得粘贴进AI对话。