A Notion revogou, em 11 de novembro, chaves de API expostas em transcrições de chats de inteligência artificial após uma violação na Fireworks AI. Durante a apuração, a companhia localizou as credenciais no conjunto de dados atingido pelo incidente. Essas chaves permitem que softwares acessem informações dos espaços de trabalho conforme as permissões concedidas pelos proprietários.

Segundo o aviso de segurança, o incidente atingiu menos de 1% dos espaços de trabalho. O conjunto exposto incluía transcrições de chats do Notion AI usadas pelo recurso Insights. Ainda assim, a companhia não identificou uso indevido das chaves revogadas em 11 de novembro.

Notion encontrou credenciais nos chats do Insights

Na maioria dos espaços de trabalho afetados, as transcrições não exibiam rótulos com o autor da conversa ou o espaço correspondente. Além disso, o material não continha resultados de chamadas de ferramentas. No entanto, informações presentes nas mensagens poderiam relacionar uma conversa a determinado usuário, empresa ou espaço de trabalho.

A descoberta mostra que a ausência de identificadores não elimina os segredos inseridos nas mensagens. Por isso, a Notion revogou todas as chaves expostas que conseguiu localizar. Com a medida, a empresa tratou especificamente as credenciais presentes no conjunto de conversas afetado.

As orientações de segurança da API alertam que o portador de um token pode realizar solicitações conforme as permissões disponíveis. Assim, uma credencial pode permitir a consulta ou alteração de conteúdo dentro do espaço de trabalho. Contudo, conexões internas ficam limitadas às páginas compartilhadas e às permissões atribuídas pelos proprietários.

Empresa interrompeu a conexão com a fornecedora

As revogações ocorreram após a Notion desconectar seus sistemas da Fireworks AI. Em 2 de novembro, uma notificação inicial parecia envolver somente dados sintéticos de teste. Logo depois, a Notion apagou os dados mantidos no ambiente da fornecedora e suspendeu as comunicações entre os sistemas. A interrupção continuou até a manhã de 3 de novembro.

Posteriormente, em 6 de novembro, a Fireworks alertou sobre um possível acesso a dados de clientes. A fornecedora confirmou a existência do novo conjunto de informações em 8 de novembro. Em seguida, a Notion identificou as transcrições do Insights entre os dados expostos. Três dias depois, a empresa revogou as chaves de API encontradas.

Durante a investigação, a Notion desativou o Insights para limitar possíveis riscos. Também deixou de oferecer os modelos de pesos abertos fornecidos pela Fireworks AI. Conforme a companhia, nenhum outro recurso da plataforma sofreu impacto.

Fireworks mantém investigação sobre o incidente

Na atualização de 9 de novembro, a Fireworks relatou impactos em metadados de recursos e informações de cobrança. A ocorrência também envolveu segredos, conjuntos de dados e pesos incompletos de modelos pertencentes a um grupo limitado de contas. Contudo, a fornecedora ainda conduzia a investigação quando publicou o comunicado.

Separadamente, a Fireworks informou que não detectou impactos no Inference, no Training SDK ou no Nexus. Esses serviços operam com retenção zero de dados por padrão. Apesar disso, a empresa classificou as conclusões como provisórias enquanto prossegue com a apuração.

Para os clientes afetados, a Notion recomendou revisar os dados impactados dentro do próprio espaço de trabalho. A companhia orientou os usuários a tratar todo o material relacionado como exposto. Além disso, aconselhou a troca de senhas, chaves de API e outras credenciais inseridas no Notion AI durante o período.

A Notion afirmou que entrou em contato com os clientes identificados como afetados. Assim, a revogação das chaves encontradas representa apenas uma parte da resposta ao vazamento. O trabalho também envolve outras credenciais que os usuários possam ter incluído nas conversas com a ferramenta de IA.

	Receba nossas últimas notícias em primeira mão.   Adicione-nos como sua fonte preferida no Google    e toque em “Favorito” para priorizar nossas atualizações.