Dijital çalışma platformu Notion, yapay zeka altyapı sağlayıcısı olan Fireworks AI şirketinde yaşanan bir ihlalden kaynaklanan dolaylı bir güvenlik ihlaline maruz kaldığını ve bunun sonucunda sınırlı sayıda çalışma alanına ait Notion AI sohbet metinlerinin ifşa olduğunu duyurdu.
İhlalin Detayları
Olay, saldırganların 23 Ekim'de harici bir bulut sağlayıcısı aracılığıyla Fireworks AI'ın geliştirme ortamına erişmeyi başarmasıyla başladı. Bu sırada bazı müşterilere ait kaynak meta verileri, faturalandırma bilgileri, model ağırlıkları ve veri setleri ele geçirildi. Bu olay, şirketin ekim ayı içindeki ikinci ihlali olma özelliğini taşıyor; daha önce de API anahtarları ve gizli belirteçler içeren ortam değişkenlerinin etkilendiği başka bir ihlal yaşanmıştı.
Notion, 2 Kasım'da bir uyarı aldıktan sonra ifşa olmuş sohbet metinlerinin varlığını keşfetti. Şirket derhal Fireworks AI'a gelen trafiği keserek, sağlayıcının sistemlerindeki tüm verileri sildi ve 3 Kasım itibarıyla eğitim süreçlerini durdurdu. Bununla birlikte Fireworks AI, 8 Kasım'da müşteri verilerine gerçekten erişildiğini doğruladı.
Bu, Kullanıcılar İçin Ne Anlama Geliyor?
Notion, sızdırılan verilerin özellikle yöneticilerin ekiplerinin yapay zekayı nasıl kullandığını izlemesini sağlayan bir araç olan Insights özelliği veri setinden kaynaklandığını açıkladı. Şirket, etkilenen sohbetlerin büyük çoğunluğunun "atıfta bulunulamaz" (unattributable) nitelikte olduğunu, yani yazarının kimliğine veya ait olduğu çalışma alanına bağlı olmadığını ve araç çağrı sonuçlarını içermediğini doğruladı.
Alınması Gereken Güvenlik Önlemleri:
- Notion kullanıcılarının %1'inden azı bu olaydan etkilendi.
- Etkilenen çalışma alanlarının sahipleri, verileri Notion web arayüzü üzerinden inceleyebilir ve sohbet metinlerini indirebilir.
- Şirket, etkilenen kullanıcılara şifrelerini, API anahtarlarını ve etkilenen sohbetlere girilen diğer kimlik bilgilerini değiştirmelerini tavsiye ediyor.
- Kullanıcı veya çalışma alanı sahibi herhangi bir bildirim almadıysa, bu durum genellikle etkilenen kapsamda olmadığını gösterir.
Bu olay, yazılım tedarik zincirleriyle ve yapay zeka altyapı sağlayıcılarına bağımlılıkla ilgili riskleri gözler önüne seriyor. Verilerin saklanmayacağına dair taahhütler bulunsa bile veri gizliliği önemli bir meydan okuma olmaya devam ediyor.