Fireworks AI: brecha expone chats de Notion

¿Qué pasó en el ciberataque a Fireworks AI?

Un atacante no entró a Notion: entró al proveedor de nube de un proveedor de Notion. El 24 de octubre, un tercero no autorizado aprovechó un incidente de seguridad en un proveedor de nube externo que alojaba las máquinas de I+D de Fireworks AI para alcanzar sus sistemas de desarrollo y ejecutar una carga de trabajo no autorizada, según el boletín de la compañía recogido por BleepingComputer.

Fireworks es una plataforma de inferencia, respaldada por Nvidia según Gadget Review: ejecuta modelos de IA abiertos —Mistral, Llama de Meta o Gemma de Google— para empresas que quieren respuestas de esos modelos sin operar el hardware. Según Crypto Briefing, atiende a más de 10.000 clientes.

Lo que quedó al alcance de los atacantes incluye información de facturación (direcciones de facturación y envío, historial de facturas y pagos, saldos de cuenta y uso de crédito), metadatos de recursos y, en un conjunto limitado de cuentas, secretos, datasets y pesos de modelos incompletos. Fireworks aclaró que no almacena números de tarjetas de pago, por lo que esos datos no se vieron afectados.

¿Y esto cómo se aplica en tu negocio?

Dueños de negocio de Latinoamérica y España usan un agente de IA para ganar más y recuperar su tiempo. El Kit «tu mano derecha con IA» te muestra cómo en un video de 11 minutos, con una ficha para armar el tuyo. CAR está cerrada por ahora; al anotarte, te avisamos cuando abra.

👥 Quiero el Kit →

¿Qué datos de Notion quedaron expuestos?

El 2 de noviembre, Fireworks avisó a Notion de que se había accedido a datos de Notion AI, según SecurityWeek. La investigación de Notion determinó que los atacantes accedieron a transcripciones de chat de Notion AI usadas por la función Insights, que ayuda a los clientes a entender su uso de IA.

Menos del 1% de los espacios de trabajo de Notion se vio afectado, y la mayoría de las transcripciones no podían atribuirse a un cliente ni a un espacio de trabajo concreto. «Más allá de lo que hay en la transcripción del chat, no hay información que vincule el chat con espacios de trabajo, usuarios o empresas», señaló Notion.

Eso no significa que el contenido sea inocuo. Como explicó la compañía, «cualquier entrada o salida del modelo que se escribiera en el chat se incluye en esa transcripción». Si un usuario pegó una clave de API, una contraseña o datos de un cliente en el asistente, ese texto viajó con la transcripción. Notion recomendó a los afectados tratar los datos como expuestos y rotar cualquier credencial que hubieran pegado.

La respuesta de Notion fue contundente: el 3 de noviembre desconectó sus sistemas de Fireworks, borró los datos almacenados, cortó toda conectividad entre ambas empresas y desactivó la función Insights. El 9 de noviembre notificó a los clientes afectados.

¿Qué es el LLMJacking y por qué roban tokens de IA?

Fireworks atribuye el ataque a un grupo con motivación económica que participa en lo que se conoce como LLMJacking: secuestrar el acceso a infraestructura de modelos de lenguaje para revender la capacidad de cómputo. El objetivo, según la compañía, es vender tokens obtenidos con acceso no autorizado a gateways de enrutamiento ilícitos, es decir, revender el uso de modelos de IA sin pagar por él.

El fenómeno tiene escala. BleepingComputer reporta que investigadores del Google Threat Intelligence Group y Mandiant documentaron que los ataques de LLMJacking pueden costar hasta US$1 millón por llamadas fraudulentas hechas con claves de API robadas. Ya no se roban solo datos: se roba capacidad de cómputo.

La cadena de proveedores, el punto ciego de la economía de la IA

Notion no fue hackeada. Fue hackeado el proveedor de nube de Fireworks, y desde ahí los datos de los usuarios de Notion quedaron expuestos. Crypto Briefing señala que en octubre se registraron al menos nueve incidentes de seguridad en plataformas de IA, y este es el segundo de Fireworks en el mismo mes.

El primer incidente, detectado el 6 de octubre, involucró el uso indebido de credenciales internas y alcanzó variables de entorno con claves de API y tokens dentro de trabajos de evaluación ligados a un número limitado de cuentas. Fireworks revocó credenciales, aisló sistemas afectados y sumó a Palo Alto Networks Unit 42 para el análisis forense y el endurecimiento de su seguridad. Según Gadget Review, Bloomberg reportó que decenas de miles de archivos contenían datos de clientes en algunos casos, y que Fireworks confirmó estar trabajando con clientes afectados como Notion y Cursor.

La lección estructural es incómoda: Fireworks respondió rápido al primer incidente, pero una debilidad fuera de sus propios muros reabrió la puerta semanas después. Cuando conectas tu producto a una plataforma de modelos que a su vez corre sobre la nube de un tercero, heredas la seguridad del eslabón más débil de toda la cadena. Y el usuario final no tiene forma de saber por cuántas manos pasan sus conversaciones.

¿Qué significa esto para tu startup?

Si tu producto usa IA, ya tienes una cadena de suministro aunque no la hayas diseñado. Estas son las acciones concretas que se desprenden del caso:

Mapea tu cadena de proveedores de IA. Haz una lista de cada proveedor de inferencia, embeddings o fine-tuning que toca datos de tus usuarios y pregunta explícitamente por sus subencargados: qué nube usan, dónde corren sus máquinas de I+D y quién tiene acceso. Notion probablemente no sabía que sus chats pasaban por un proveedor de nube de su propio proveedor.
Exige retención cero por contrato. Fireworks afirma que sus productos Inference, Training SDK y Nexus son zero-data-retention por defecto y no mostraron impacto detectado, mientras que los datasets y pesos de modelos de algunas cuentas sí quedaron expuestos. La diferencia entre ambos grupos es exactamente la que quieres que exista entre tus datos y tu proveedor.
Rota credenciales hoy. Si tu equipo pegó claves de API, tokens o contraseñas en un asistente de IA, considéralas comprometidas. Notion se lo recomendó a sus clientes afectados y es el consejo más barato de ejecutar.
Escribe un plan de corte de una página. Define de antemano quién puede desconectar una integración, quién borra los datos del proveedor y en cuánto tiempo. Notion pasó del aviso de Fireworks, el 2 de noviembre, al corte total el 3 de noviembre: esa velocidad es la que quieres tener documentada antes de que ocurra.
Pon plazos de notificación en el contrato. Pregunta a tus proveedores en cuántas horas te avisarían de un incidente y qué evidencia te entregarían. Sin esa cláusula, te enteras por la prensa.

Conclusión

El caso Fireworks-Notion es la demostración más clara de que el riesgo de la IA ya no está solo en tu código: está en la pila de servicios que apilas debajo. La respuesta de Notion —cortar, borrar, desactivar y avisar— fue la correcta, pero llega después del hecho. Para un founder, la ventaja no está en reaccionar rápido a una brecha, sino en saber de antemano cuántas capas hay entre los datos de tus usuarios y un proveedor que ni conoces.