La plateforme de travail numérique Notion a annoncé avoir subi une violation de sécurité indirecte résultant d'une intrusion chez son fournisseur d'infrastructure d'intelligence artificielle, la société Fireworks AI, ce qui a entraîné l'exposition de transcriptions de conversations de Notion AI pour un nombre limité d'espaces de travail.
Détails de l'intrusion
L'incident a commencé lorsque des attaquants ont réussi à accéder à l'environnement de développement de Fireworks AI via un fournisseur cloud tiers le 23 octobre, obtenant ainsi l'accès à des métadonnées de ressources, à des informations de facturation, à des pondérations de modèles et à des ensembles de données appartenant à certains clients. Il s'agit du deuxième incident pour l'entreprise au cours du mois d'octobre, après avoir déjà subi une autre intrusion ciblant les variables d'environnement contenant des clés API et des jetons secrets.
Notion a découvert l'existence de transcriptions de conversations exposées après avoir reçu une alerte le 2 novembre, et l'entreprise a immédiatement réagi en coupant le trafic vers Fireworks AI, en supprimant toutes les données des systèmes du fournisseur et en arrêtant les opérations d'entraînement d'ici le 3 novembre. Néanmoins, Fireworks AI a confirmé le 8 novembre que les données des clients avaient effectivement bien été consultées.
Qu'est-ce que cela signifie pour les utilisateurs ?
Notion a précisé que les données divulguées provenaient spécifiquement de l'ensemble de données de la fonctionnalité Insights, un outil permettant aux administrateurs d'espaces de travail de surveiller l'utilisation de l'intelligence artificielle par leurs équipes. L'entreprise a affirmé que la grande majorité des conversations concernées étaient « non attribuables », c'est-à-dire qu'elles n'étaient liées ni à l'identité de leur auteur ni à l'espace de travail auquel elles appartenaient, et qu'elles ne contenaient pas non plus de résultats d'appels d'outils.
Mesures de protection requises :
- Moins de 1 % des utilisateurs de Notion ont été touchés par cet incident.
- Les propriétaires des espaces de travail concernés peuvent examiner les données via l'interface web de Notion et télécharger leurs transcriptions de conversations.
- L'entreprise conseille aux utilisateurs concernés de modifier leurs mots de passe, leurs clés API et tout autre identifiant saisi dans les conversations affectées.
- Si un utilisateur ou un propriétaire d'espace de travail n'a pas reçu de notification, cela signifie généralement qu'il ne fait pas partie du périmètre touché.
Cet incident souligne les risques liés aux chaînes d'approvisionnement logicielles et à la dépendance envers les fournisseurs d'infrastructure d'intelligence artificielle, la confidentialité des données restant un défi persistant malgré des engagements contractuels de non-conservation des données.