Ein Sicherheitsvorfall beim KI-Infrastrukturanbieter Fireworks AI hat Notion-Kundendaten offengelegt. Betroffen sind nach Angaben von Notion weniger als ein Prozent der Workspaces. Unter den abgeflossenen Daten befinden sich Chatprotokolle der Notion-AI-Funktion Insights. Am 13. November meldete Notion einen weiteren Schritt: In betroffenen Nachrichten gefundene API-Schlüssel externer Anbieter wurden deren Herausgebern gemeldet.
Was bei Notion abgeflossen ist
Notion bestätigt in seinem Sicherheitshinweis, dass der betroffene Datensatz Chatprotokolle aus der Insights-Funktion enthält. Diese Funktion half Unternehmen dabei, ihre Nutzung von Notion AI auszuwerten. Die Protokolle konnten Eingaben und Antworten des Modells enthalten. Für die große Mehrheit der betroffenen Workspaces seien die Daten nicht unmittelbar einem Nutzer oder Unternehmen zuzuordnen gewesen. Das ist allerdings keine Anonymitätsgarantie: Ein Chattext kann selbst identifizierende oder vertrauliche Angaben enthalten.
Notion gibt an, dass keine anderen Produktfunktionen betroffen seien. Die Insights-Funktion wurde deaktiviert; offene Modelle werden vorerst nicht mehr über Fireworks bereitgestellt. Kunden, deren Workspaces als betroffen identifiziert wurden, erhielten Benachrichtigungen und Zugriff auf ihre betroffenen Daten.
Neue Entwicklung: API-Schlüssel in Chatnachrichten
In einer Aktualisierung vom 13. November erklärt Notion, dass am 11. November in betroffenen Nachrichten gefundene Notion-API-Schlüssel widerrufen wurden. Am 12. November meldete das Unternehmen außerdem offengelegte API-Schlüssel von Drittanbietern an die jeweiligen Herausgeber. Die Formulierung ist wichtig: Notion berichtet über Schlüssel, die in Chatnachrichten standen. Sie belegt nicht, dass alle Schlüssel technisch missbraucht wurden.
Für Unternehmen ist das ein konkretes Risiko. Ein API-Schlüssel kann einem Dritten unter Umständen den Zugriff auf externe Systeme oder kostenpflichtige Dienste ermöglichen. Ob ein solcher Zugriff tatsächlich möglich war, hängt von Berechtigungen, Ablaufdatum, Sperrung und zusätzlichen Schutzmaßnahmen ab. Betroffene sollten die ihnen gemeldeten Schlüssel beim jeweiligen Anbieter ersetzen und die zugehörigen Zugriffsprotokolle prüfen.
Wie der Angriff den KI-Dienstleister traf
Fireworks beschreibt eine mehrstufige Untersuchung. Am 23. Oktober habe ein Drittanbieter für Cloud-Infrastruktur einen Sicherheitsvorfall erlebt. Am 24. Oktober sei darüber ein unberechtigter Zugriff auf Fireworks-Entwicklungsmaschinen erfolgt; ein fremder Workload habe zusätzliche Kundendaten betroffen. Fireworks habe die Aktivität noch am selben Tag erkannt und Gegenmaßnahmen eingeleitet.
Zu den vom Anbieter genannten betroffenen Datenkategorien gehören Ressourcenmetadaten, Abrechnungsinformationen sowie bei einzelnen Kunden Datensätze und unvollständige Modellgewichte. Vollständige Zahlungskartennummern seien nicht betroffen. Fireworks erklärt, bisher keine Auswirkungen auf seine standardmäßig ohne Datenspeicherung betriebenen Dienste Inference, Training SDK und Nexus festgestellt zu haben. Die Untersuchung dauert an; diese Aussage ist daher eine vorläufige Feststellung des Anbieters.
Fireworks sieht Hinweise auf eine finanziell motivierte Tätergruppe, die unberechtigt erlangte Zugänge zu KI-Modellen über illegale Vermittlungsdienste weiterverkaufen wollte. Dieses als LLMJacking bezeichnete Geschäftsmodell zielt auf fremde Rechenkapazität und API-Kosten. Eine öffentlich nachvollziehbare Zuordnung zu einer konkreten Tätergruppe liegt damit noch nicht vor.
Warum ein Angriff auf einen KI-Anbieter andere Unternehmen trifft
Der Fall zeigt ein strukturelles Risiko: Ein Produkt kann Funktionen über externe Modell- und Infrastrukturbetreiber anbieten, ohne dass Endnutzer den gesamten Datenweg sehen. Wird ein Dienstleister kompromittiert, können Informationen aus nachgelagerten Anwendungen betroffen sein, obwohl deren eigene Systeme nicht gehackt wurden. Notion betont ausdrücklich, dass seine eigenen Systeme nicht kompromittiert worden seien.
Eine technische Besonderheit ist der Unterschied zwischen einem regulären Inferenzaufruf und gespeicherten Daten für Auswertungs- oder Testfunktionen. Aus der Aussage, ein Modellanbieter speichere Prompts standardmäßig nicht, folgt nicht automatisch, dass sämtliche verbundenen Anwendungen und internen Datensätze niemals Chat-Inhalte enthalten. Genau diese Trennung müssen Unternehmen bei der Prüfung ihrer KI-Dienstleister berücksichtigen.
Was betroffene Unternehmen jetzt tun sollten
Notion empfiehlt ausdrücklich, die benachrichtigten betroffenen Datensätze einzusehen und sensible Informationen darin als offengelegt zu behandeln. Wer Passwörter, Tokens oder API-Schlüssel in betroffenen Chats geteilt hat, sollte diese ersetzen und gegebenenfalls unberechtigte Zugriffe untersuchen. Nicht benachrichtigte Workspaces gelten laut Notion bislang nicht als betroffen; die Untersuchung läuft jedoch weiter.
Offen sind weiterhin die genaue Zahl betroffener Workspaces, die Reichweite der kompromittierten Daten bei anderen Fireworks-Kunden und mögliche Folgeschäden durch exponierte Zugangsdaten. Aus den bislang veröffentlichten Angaben lässt sich keine pauschale Kompromittierung sämtlicher Notion-AI-Chats ableiten.
Quellen
📂
Kategorie
News
Aktuelle Meldungen aus der Tech-Welt – kompakt eingeordnet, ohne Clickbait-Überschriften.
