Chats de Notion AI quedaron expuestos por la brecha de Fireworks AI, y el aviso alcanza a cualquiera que pegue información de trabajo en un asistente. Notion confirmó que transcripciones de sus clientes llegaron al conjunto de datos que los atacantes sacaron de Fireworks, un proveedor externo. Sus propios sistemas no fueron vulnerados. El grupo afectado reúne menos del 1 % de los espacios de trabajo.
La cifra parece pequeña hasta que se mira el contenido. Una transcripción guarda preguntas, borradores, cifras internas y nombres que una persona escribió pensando que hablaba solo con la aplicación.
Notion precisó que la gran mayoría de esas conversaciones carecía de etiquetas con el autor o el espacio de origen, y que el paquete no incluía resultados de llamadas a herramientas conectadas. Fuera del texto mismo, nada ataba un chat a una empresa concreta.
Esa falta de etiquetas baja el riesgo de identificación masiva, pero no borra el problema. Si alguien pegó una contraseña o un dato personal dentro de la conversación, ese secreto viaja en texto plano, con etiqueta o sin ella. Por eso la recomendación de Notion es directa: quien recibió el aviso debe tratar el material como expuesto y cambiar cualquier credencial pegada en Notion AI durante el incidente.
El aviso oficial, actualizado el 10 de noviembre, deja otro dato que pesa para los equipos hispanos que trabajan con Notion en empresas de Estados Unidos y América Latina. La función afectada se llama Insights: clasificaba conversaciones y enseñaba a cada cliente cómo usa su equipo la inteligencia artificial del producto. Insights quedó desactivada mientras dura la investigación.
Una semana de avisos que cambió la primera versión
Fireworks avisó a Notion la noche del 2 de noviembre: un grupo reducido de datos había sido accedido por actores maliciosos. La primera revisión encontró solo datos sintéticos de prueba, sin información de clientes. Aun con ese resultado, la mañana del 3 de noviembre Notion desconectó sus sistemas de los de Fireworks, borró los datos guardados en esa plataforma y cortó toda comunicación entre ambos servicios.
El panorama cambió tres días después. El 6 de noviembre, Fireworks advirtió que los atacantes pudieron llegar a datos de clientes, y Notion abrió otra investigación interna. El 8 de noviembre, Fireworks confirmó el conjunto final afectado; al revisarlo, Notion encontró dentro las transcripciones de conversaciones usadas por Insights. El 9 de noviembre la empresa escribió a los clientes identificados como afectados.
Quien no ha recibido ese correo no aparece, por ahora, en la lista de afectados y no necesita hacer cambios, aclara el aviso. La investigación sigue abierta y la empresa promete avisar directo si un espacio entra luego en el grupo. Los afectados pueden revisar el material expuesto dentro de su propio espacio, con las instrucciones del correo.
Detrás de este caso hay una historia mayor, ya contada en la brecha de datos de Fireworks AI que amplió su boletín el 9 de noviembre. Un proveedor de nube que alojaba máquinas de desarrollo de Fireworks sufrió su propio incidente el 23 de octubre. Al día siguiente, la parte no autorizada usó esa vía para entrar a esas máquinas y ejecutar una carga de trabajo sin permiso.
Ese acceso agrandó el alcance del caso completo. Fireworks reportó efecto en información de cuentas y facturación: direcciones, historial de facturas, saldos y uso de créditos. Para un grupo limitado de cuentas sumó secretos, conjuntos de datos y modelos incompletos. Los números de tarjetas no entran en ese paquete: la empresa no los almacena.
Fireworks atribuye la actividad a un grupo con motivación económica dedicado al LLMJacking, robar acceso a modelos grandes de lenguaje para revenderlo por pasarelas ilícitas. La firma avisó a las autoridades, trabaja con Unit 42 de Palo Alto Networks en el análisis forense y desactivó subidas y descargas de conjuntos de datos. En Inference, Training SDK y Nexus no detectó efecto; retienen cero datos por defecto.
El riesgo real está en lo que cada quien pegó en el chat
Notion usaba a Fireworks para dos tareas. Una era la clasificación de conversaciones de Insights. La otra, servir modelos de pesos abiertos dentro del producto, servicio que cortó con la relación. Ninguna otra función aparece afectada en el aviso, y la empresa repite que la entrada no ocurrió en sus sistemas.
El episodio deja una lección incómoda para cualquier oficina que adoptó asistentes con prisa. El dato no sale siempre por la puerta de la aplicación que la persona ve; a veces sale por un proveedor que lo procesa dos pisos más abajo, sin nombre visible en la pantalla. Preguntar qué subcontratistas tocan las conversaciones de un equipo dejó de ser detalle de contrato: es higiene básica.
Para el usuario común, la medida práctica es más simple y más vieja que la inteligencia artificial: nada de contraseñas, claves de API (interfaces de programación de aplicaciones) ni documentos con datos personales dentro de un chat, ni para resumirlos. Si una credencial entró en una conversación de Notion AI y el espacio recibió el aviso, esa credencial se cambia hoy, no la semana entrante.
Queda un cabo abierto que el aviso no cierra. Notion no publica cuántas personas escribieron en las conversaciones expuestas ni cuántas empresas forman ese menos del 1 %, y Fireworks tampoco dio un conteo público de cuentas en su boletín del 9 de noviembre. La dimensión completa depende de avisos sin fecha.
Fuente: Notion
