Fireworks AI 遭网络入侵，上游泄露造成 Notion 约 1% 工作区 AI 聊天记录外泄

AI 算力服务商 Fireworks AI 遭遇连环网络攻击，黑客通过云服务商入口拿下其开发环境，不仅拿到了平台侧账单信息、数据集、部分模型权重，连带下游客户 Notion 的数据被波及；Notion 官方确认，大约不到 1% 的工作区对应的 Notion AI 聊天记录被非法访问，这批数据主要是给 Insights 统计功能送去做分析的对话文本，绝大多数泄露记录没有绑定用户、工作空间标识，没法直接定位到人，但对话原文本身已经流出，整个事件属于典型的 AI 供应链安全事故，出事的不是 Notion 自身服务器，而是它依赖的第三方推理服务商，事发之后 Notion 第一时间切断连接、清理存量数据，同步排查并且主动吊销泄露在聊天内容里的 API 密钥，Fireworks 这边也认定这次攻击属于 LLMJacking，黑客目标是盗取凭证倒卖大模型调用权限牟利。

一、事件基础信息清单

二、完整事件时间线梳理

1. 10 月上旬，第一轮安全事件
2. 10 月 23 日，第二次更深层入侵
3. 11 月 2 日，第一次告警
4. 11 月 6 日，风险升级通知
5. 11 月 8 日，确认泄露事实
6. 11 月 9–11 日，用户通知与收尾

黑客拿到评估任务里存放的环境变量，窃取一批 API Key 和访问令牌，Fireworks 发现之后立刻吊销凭证，通知当时识别到的客户。

攻击者经由合作云服务商，横向渗透进入 Fireworks AI 的开发环境，拿到元数据、账单资料、客户数据集、部分未完成模型权重。

Fireworks 通知 Notion，疑似只有合成测试数据集被访问，当时判断没有真实用户数据。出于稳妥，Notion 在 11 月 3 日早上断开和 Fireworks 的全部链路，删除已经存放在对方侧的数据，停止所有训练任务。

Fireworks 更新消息，提示黑客有可能访问真实客户数据集，Notion 立刻启动深度复盘。

确认外泄数据集里面包含 Notion AI 的真实聊天记录，也就是给 Insights 功能统计用的对话内容。

Notion 开始单独联系受影响的工作区管理员，同步处置指引，同时扫描全部泄露文本，把里面出现的 API 密钥批量吊销。

三、泄露内容边界，哪些有风险、哪些安全

存在风险的部分

• 用户在 Notion AI 对话框里输入的原始文字，不管是笔记、密码片段、项目方案、私密资料，只要进入 Insights 分析链路，都有可能被拿到；
• 配套的资源名称、任务描述、提交时间这类元信息；
• 少量聊天里面直接粘贴进去的密钥、Token，已经被平台批量回收。

明确不受波及的部分

• Notion 普通文档、数据库、上传文件，这次攻击没有攻破 Notion 自有服务器；
• Fireworks 常规推理、Training SDK、Nexus 链路，默认不留存数据，不在本次泄露范围；
• 用户银行卡号，Fireworks 本身不保存完整卡号，账单地址、发票记录虽然被黑客访问，但没有卡信息；
• 绝大多数泄露会话没有身份标签，黑客拿到文本，很难直接对应到是哪一家公司、哪一个用户。

四、Fireworks AI 和 Notion 两边的处置措施

Notion 侧处置

1. 切断和 Fireworks AI 的全部流量通路，不再推送任何数据过去；
2. 远程清除 Fireworks 环境里保存的 Notion 用户数据集；
3. 扫描外泄聊天文本，自动吊销所有在对话里出现的 Notion API 密钥；
4. 定向给受影响工作区管理员发通知，附带自查步骤；
5. 持续监控，一旦后续排查出新的受影响空间，继续追加通知。

Fireworks AI 侧处置

1. 全部轮换、吊销被攻陷的账号、服务凭证、密钥；
2. 清理多余高权限账号，收紧云环境横向访问权限；
3. 隔离被入侵的开发环境，阻断黑客继续渗透；
4. 临时关闭自助数据集批量上传、下载功能，降低二次泄露；
5. 引入第三方取证团队 Palo Alto Unit 42，同步上报执法机构；
6. 强化日志审计，开启 7×24 安全监控。

五、普通用户、企业团队自查清单

• 如果收到 Notion 官方通知：优先修改在 Notion AI 对话里粘贴过的密码、第三方密钥、数据库凭证；
• 没有收到通知：不代表绝对安全，建议自查历史对话，不要继续在 AI 输入框粘贴账号、私钥、敏感合同；
• 企业管理员：梳理当前所有 AI 服务商，区分推理链路、统计分析链路，尽量把敏感文档和对外第三方分析服务隔离；
• 使用 Fireworks 接口的开发者：立刻轮换自己的 API Key，查看账单有没有异常算力消耗，警惕 LLMJacking 盗刷。

六、这件事暴露的 AI 供应链问题

现在很多笔记、办公产品不会自建全套大模型，会把推理、统计分析外包给专门的 AI 云厂商，这就多出一层风险点。就算主站防护做得再好，上游服务商被攻破，用户数据一样外泄；而且像 Insights 这类后台统计功能，很多用户不知道自己的聊天内容会额外发给第三方做分析，属于容易被忽略的数据流转路径。另外这次 LLMJacking 攻击模式正在增多，黑客不再单纯偷数据卖情报，而是偷凭证、倒卖算力，给企业带来高额账单和信息泄露双重损失。

【相关 FAQ】

问题 1：Fireworks AI 遭网络攻击，造成 Notion 约 1% 用户聊天记录泄露，是不是 Notion 本身服务器被黑了？

回答 1：并不是 Notion 自身系统被入侵，出事的是第三方 AI 供应商 Fireworks AI，Notion 把一部分 Notion AI 的对话数据发送给 Fireworks，用来支撑 Insights 统计功能，黑客攻破 Fireworks 的开发环境之后，顺带拿到了这批 Notion 的聊天记录，属于上游供应链泄露。

问题 2：Fireworks AI 攻击泄露的 Notion 聊天记录，能不能直接查到是哪个用户发的？

回答 2：这批外泄记录大部分是不可归属状态，没有附带用户 ID、工作区标识，单凭聊天文本很难定位到人；但如果对话里面用户主动粘贴了密钥、邮箱、公司名称、个人隐私信息，黑客依然可以依靠文本内容识别身份。

问题 3：Fireworks AI 这次网络攻击属于什么类型，黑客为什么要偷 Notion 的聊天记录？

回答 3：本次攻击归类为 LLMJacking，黑客核心目标是窃取 AI 平台的访问令牌、API 凭证，转手在黑产渠道售卖大模型调用算力；顺带拿到下游客户数据集、聊天记录，这些敏感资料也可以二次倒卖，属于财利驱动的网络入侵。

问题 4：Fireworks AI 被攻击之后，Notion 约 1% 用户聊天记录泄露，普通用户需要主动做什么？

回答 4：收到 Notion 官方通知的用户，要尽快轮换曾经粘贴在 Notion AI 对话内的密钥、密码；没有收到通知的用户，建议后续避免在 Notion AI 输入框存放账号、私钥、涉密材料，同时留意账号和账单有没有异常。

问题 5：Fireworks AI 泄露事件之后，Notion 和 Fireworks AI 的合作现在是什么状态？

回答 5：Notion 在 11 月 3 日就已经切断和 Fireworks AI 的连接，删除存放在对方平台的全部数据，停止使用这家服务商处理 Notion AI 的 Insights 相关任务；Fireworks 这边则是临时限制数据集上传下载，加固权限并且持续排查入侵痕迹。

【参考资料】

[2026-11-13]（Fireworks AI Suffers Cyberattack; Notion Reports Leak of Chat Records for About 1% of Users）AIbase

[2026-11-12]（Notion says Fireworks breach exposed customer AI chat transcripts）BleepingComputer

[2026-11-12]（Notion AI chats exposed in breach at AI provider Fireworks）Notebookcheck.net

[2026-11-12]（Notion AI 聊天记录因供应商泄露影响不足 1% 工作区）IT 时代网

[2026-11-11]（Fireworks AI 更新安全事件通报：遭遇 LLMJacking 攻击，客户信息泄露）新浪财经

[2026-11-09]（Security incident involving a third-party AI vendor）Notion 官方安全公告

[2026-11-09]（Fireworks AI Expands Breach Disclosure to Datasets and Model Weights）Unite.AI

【免责声明】

本文基于 Notion、Fireworks AI 官方安全公告以及海外安全媒体公开报道整理；泄露范围、受影响工作区数量、数据细节以厂商后续最终调查结论为准；本次事件属于第三方供应链安全事故，文中给出的自查方案仅作为安全参考，不构成企业安全架构整改的唯一标准；同时不构成采购、接入第三方 AI 服务的投资或选型建议。