📡 Signal｜Notion の AI チャット記録、委託先 Fireworks AI の侵害で流出

米 Notion は11月9日 (米国時間)、AI の推論を委託していた Fireworks AI が不正アクセスを受け、Notion AI のチャット記録の一部が流出したと公表した。影響は Notion のワークスペース全体の1%未満で、記録の多くは書き手やワークスペースを特定する情報を含まないという。

Notion「Security incident involving a third-party AI vendor」(11月9日) — 経緯、影響の範囲、Insights の停止、利用者への推奨Notion

AI 機能そのものではなく、その裏で推論や分類を受け持つ委託先から利用者の会話が出た。AI を製品に組み込む企業が増えるほど、利用者の入力が通る会社の数も増えていく。

「顧客データなし」から1週間で変わった判断

Notion の公表によると、経緯は次のとおりだ。

• 11月2日: Fireworks から、攻撃者が小さなデータの集まりに触れたと通知があった。Notion の確認では、中身は Notion AI の合成テスト用データで、顧客データは含まれていなかった
• 11月3日: 念のため Fireworks との接続を切り、Fireworks 側のデータをすべて削除し、通信を止めた
• 11月6日: Fireworks から、顧客データにも触れられた可能性があると通知があり、Notion は改めて社内調査を始めた
• 11月8日: Fireworks が影響を受けたデータの範囲を確定した。Notion の分析で、Insights 機能に使う Notion AI のチャット記録が含まれていると分かった
• 11月9日: 影響を受けた顧客に連絡した

Notion は Fireworks を2つの用途で使っていた。一つは、顧客が自社の AI の使われ方を把握するための Insights 機能の分類処理。もう一つは、Notion の製品の中で動くオープンウェイトモデルの推論だ。Notion は調査中、Insights 機能を止め、Fireworks 経由のオープンウェイトモデルの提供もやめている。ほかの機能に影響はないとしている。

委託先 Fireworks で何が起きたか

Fireworks の11月9日の告知によると、同社の研究開発用のマシンをホストしていた外部のクラウド事業者で10月23日に侵害が起き、翌24日に攻撃者がその環境を経由して Fireworks の開発用マシンに到達した。そこで不正な処理を動かし、追加の顧客データに影響が出た。Fireworks は同日に検知している。

Fireworks が挙げる影響は3種類だ。

• リソースのメタデータ (ID、表示名、説明、作成日時)
• 請求の情報 (請求先・配送先の住所、請求と支払いの履歴、残高)。カード番号は保管していないため影響はない
• 一部の顧客の、未完成のモデルの重みとデータセット

同社は10月9日にも、評価ジョブで使う秘密情報が盗まれたことを告知しており、今回はその続報にあたる。今回の活動は、不正に得た大規模言語モデルの利用枠を売る「LLMjacking」を手がける金銭目的の集団に結びつくとしている。推論、Training SDK、Nexus の各サービスはデータを保持しない設定が標準で、影響はなかったという。

推論を外に出す、という攻撃面

同じ11月9日には、推論エンジン SGLang の脆弱性を突かれた NEAR AI も侵入を公表 している。2件は手口も相手も違うが、狙われた場所は同じ層にある。モデルを作る会社でも、それを使うアプリでもなく、その間で推論や学習を引き受ける基盤だ。

利用者がアプリに打ち込んだ文章は、アプリの会社の中だけで処理されるとは限らない。推論の委託先、その委託先が借りるクラウド、と連鎖のどこか一つが破られれば、会話の中身が出る。Notion の記録の多くが書き手を特定できない形だったのは被害を小さくしたが、チャットに書かれた中身そのものは記録に残る。

Notion は、事案の期間中に Notion AI へパスワードや API キーなどを貼り付けた場合は、それらを入れ替えるよう求めている。影響を受けた顧客は、メールで届く手順に沿ってワークスペースの中で対象のデータを確認でき、Notion はそのデータを流出したものとして扱うよう呼びかけている。連絡のないワークスペースは、現時点で対応の必要はない。

次に見るもの

確認先は Fireworks のセキュリティ告知のページ (Security Bulletins) だ。Palo Alto Networks の Unit 42 によるフォレンジック調査が続いており、侵害されたクラウド事業者の名前や、ほかの顧客企業への影響が書き足されるかを見る。Notion 側では、止めている Insights 機能をいつ、どの推論の委託先で再開するかが、次の告知の焦点になる。

ことば

• オープンウェイトモデル — 学習済みの重みが公開され、誰でも自分の環境で動かせる AI モデル。自社で運用する手間を省くため、推論を Fireworks のような専門の事業者に任せる企業が多い。
• LLMjacking — 盗んだ認証情報などで他人の AI モデルの利用枠を不正に使い、その利用権を闇の中継サービスに売る手口。Google の脅威分析グループと Mandiant が11月2日に報告している。

🔗 一次ソース

• Notion「Security incident involving a third-party AI vendor」(11月9日) — 経緯、影響の範囲、Insights の停止、利用者への推奨Notion
• Fireworks AI「Update on October 2026 security incident」(11月9日) — 10月23〜24日の侵入、影響したデータの3分類、LLMjackingfireworks.ai
• Fireworks AI「October 2026 security incident」(10月9日) — 最初の事案の告知fireworks.ai
• ITmedia AI+ (11月11日) — Notion の発表の報道ITmedia AI＋