La brecha de Fireworks deja al aire conversaciones con la IA de Notion

Notion ha confirmado que la brecha de seguridad de Fireworks AI, uno de sus proveedores de infraestructura de inteligencia artificial, ha expuesto transcripciones de conversaciones con Notion AI en menos del 1 % de sus espacios de trabajo. Es la primera cascada visible de un ataque que Fireworks viene reconstruyendo desde principios de octubre y que sus investigadores vinculan con un negocio criminal en auge: revender accesos robados a modelos de lenguaje, el conocido como LLMJacking.

Fireworks AI, una plataforma de infraestructura de IA que sirve, según la propia Notion, a decenas de miles de clientes, publicó un primer boletín el 9 de octubre, tres días después de descubrir el incidente. La actualización publicada el lunes amplía bastante el alcance: además de secretos almacenados por la propia Fireworks, el grupo atacante, motivado económicamente, accedió a información de cuentas y de facturación y, para un conjunto limitado de cuentas, también a secretos de clientes, conjuntos de datos y modelos incompletos. La compañía subraya que no almacena números de tarjeta, por lo que no se han visto afectados, y que trabaja con Unit 42 de Palo Alto Networks y con las fuerzas de seguridad.

Dos intrusiones en cadena y un negocio en auge

La cronología revela un segundo apagón dentro del primero. El 23 de octubre, un proveedor de nube que alojaba las máquinas de investigación y desarrollo de Fireworks sufrió su propio incidente; al día siguiente, el atacante lo usó como trampolín hasta las máquinas de desarrollo de Fireworks, donde ejecutó una carga de trabajo no autorizada que impactó en más datos de clientes. Fireworks asegura que detectó la actividad el mismo día y que desde el 25 de octubre no hay evidencia de nuevos accesos.

Para Notion, la secuencia fue igual de incómoda. El 2 de noviembre, Fireworks le notificó un primer conjunto de datos accedido, que resultó ser sintético y de pruebas; por precaución, Notion desconectó sus sistemas de Fireworks a la mañana siguiente y borró allí todos sus datos. El 6 de noviembre llegó el aviso de que podía haber datos reales de clientes, y el 8, la confirmación del conjunto final afectado: transcripciones de chats con Notion AI usados por la función Insights. La compañía matiza que, en la inmensa mayoría de los espacios afectados, esas transcripciones eran «no atribuibles»: no estaban etiquetadas con su autor ni con su espacio de trabajo y no incluían resultados de herramientas, así que nada fuera del propio texto de la conversación las vincula a una empresa. Aun así, Notion notificó el lunes a los clientes afectados, ha desactivado Insights y ha dejado de servir modelos abiertos a través de Fireworks.

El motivo del ataque tiene nombre propio desde el 2 de noviembre, cuando Google Threat Intelligence y Mandiant publicaron un análisis del LLMJacking: grupos criminales que roban credenciales y tokens de acceso a modelos de lenguaje para revenderlos a través de pasarelas ilícitas, los «LLM Mixers». Las cifras que manejan explican el incentivo: cargos fraudulentos de más de 100.000 dólares en un solo día y acumulados de hasta un millón en algunas organizaciones antes de que se revocara el acceso.

El incidente expone la cadena de custodia por la que pasan los datos. Las empresas eligieron Notion, no Fireworks; y Fireworks eligió a su proveedor de nube, no ellas. Sus conversaciones con la IA han pasado por al menos dos proveedores distintos del que contrataron, y el consuelo de lo «no atribuible» es relativo: el texto de un chat puede decir mucho de clientes, cifras y estrategias aunque no lleve etiqueta. Es la misma advertencia que hacíamos esta semana sobre el uso de IA generativa sin control en la empresa, vista desde el otro extremo: aquí la que falló fue la propia cadena de suministro del producto. Para quien use Notion en España, la compañía es taxativa: si no ha recibido su aviso, su espacio no figura entre los afectados.

El LLMJacking da a las claves de API un valor de mercado inmediato y convierte a los proveedores de IA en objetivo. El caso deja una consecuencia práctica para cualquier empresa que use estos servicios: revisar qué subproveedores tocan sus datos detrás del primero y en qué condiciones los tratan.

Más información | el boletín actualizado de Fireworks AI y el aviso de seguridad de Notion