Brecha en Fireworks AI expone chats de Notion AI

Una brecha en Fireworks AI expuso chats de Notion AI que se creían fuera de retención

Fireworks AI confirmó que atacantes accedieron a un subconjunto de sus sistemas de almacenamiento y que, entre los datos afectados, aparecieron transcripciones de chats de Notion AI. La paradoja es incómoda: la documentación de Fireworks afirma que la compañía tiene «Zero Data Retention by default». Las dos cosas son ciertas al mismo tiempo, y esa contradicción aparente es la lección más caras que puede aprender hoy un equipo de seguridad.

Notion reconoció que menos del 1% de sus workspaces pudo haber sido afectado y recomendó a sus clientes «tratar estos datos como si hubieran sido expuestos». Si tus empleados pegaron notas de reuniones internas, planes de producto sin lanzar o datos de clientes en un chat de Notion AI, esa información puede estar en las transcripciones.

¿Qué pasó exactamente en la brecha de Fireworks AI?

La cronología importa porque muestra dos intrusiones distintas en cinco semanas. Según el boletín que Fireworks publicó el 10 de octubre, la compañía detectó el 6 de octubre el uso no autorizado de credenciales internas que permitieron acceder a variables de entorno usadas en jobs de evaluación de un número limitado de cuentas, según recogió The Hacker News.

Leíste lo que hace la IA. ¿Y en tu negocio?

Un agente de IA puede quedarse con parte de tu día: ordenar lo pendiente y pedirte el OK antes de actuar. El Kit «tu mano derecha con IA» trae un video de 11 minutos y una ficha para dejar al tuyo trabajando. CAR está cerrada por ahora; al anotarte, te avisamos cuando abra.

👥 Quiero el Kit →

El segundo camino fue indirecto. Un proveedor cloud tercero que alojaba las máquinas de I+D de Fireworks sufrió un incidente el 23 de octubre. Al día siguiente, el tercero no autorizado usó ese acceso para llegar a las máquinas de desarrollo de Fireworks y ejecutar una carga de trabajo no autorizada que derivó en impacto adicional sobre datos de clientes. Para el 25 de octubre, la empresa dijo no haber detectado más accesos exitosos sobre la plataforma que usan sus clientes.

¿Qué se accedió? Metadatos de recursos (identificadores, nombres, descripciones, fechas de creación), información de facturación (direcciones, historial de facturas y pagos, saldo, uso de crédito) y, para un conjunto limitado de cuentas, secretos, datasets y pesos de modelos incompletos. Fireworks no almacena números de tarjeta, por lo que esos no se vieron afectados. La compañía contrató a Unit 42 de Palo Alto Networks para el análisis forense, según Unite.AI.

Bloomberg reportó que Fireworks notificó a los clientes el 9 de noviembre y que en algunos casos decenas de miles de archivos contenían datos de clientes, con Notion y Cursor entre los afectados, según recogió GadgetReview.

¿Qué es Zero Data Retention y por qué no protegió a Notion?

La política de Fireworks funciona «rechazando cada request y job que persistiría o registraría contenido del cliente». El detalle que casi nadie lee: está disponible en cuentas Enterprise y su configuración de política por defecto dice «Applies to Inference and Training. Off by default».

Es decir, el escudo existe, pero viene apagado y es una función de plan empresarial. Y aun encendido no cubre todo: la propia página de política admite que «unas pocas features sí almacenan contenido del cliente, como stored responses, batch jobs y training».

Ahí está el hueco. El boletín del 9 de noviembre dice que no se detectó impacto en Inference, Training SDK y Nexus, «todos zero data retention por defecto». El CEO Lin Qiao lo formuló distinto en X: «Inference (excluding batch inference)». La diferencia no es semántica: batch inference es precisamente uno de los tipos de job que la política ZDR rechaza cuando está activa, y Fireworks deshabilitó las cargas y descargas de datasets de autoservicio usadas por Batch Inference durante la investigación.

Ninguna de las dos compañías ha dicho qué feature de Fireworks almacenó las transcripciones de Notion. Y nada en las divulgaciones demuestra que la política hubiera detenido la intrusión.

¿Qué es LLMjacking y por qué se volvió un negocio?

Fireworks atribuye la actividad a un grupo con motivación financiera que busca vender tokens de acceso no autorizado a modelos de lenguaje a gateways de enrutamiento ilícitos. Ese es el negocio del LLMjacking, y Google Threat Intelligence Group y Mandiant publicaron el 2 de noviembre un análisis sobre su auge.

Las cifras del informe, recogidas por BleepingComputer, son contundentes: cargos fraudulentos superiores a US$100.000 en un solo día y acumulados de US$1.000.000 en algunas organizaciones antes de revocar el acceso. El servicio de enrutamiento Jet Night procesó más de 500.000 llamadas a API en menos de ocho horas y trasladó casi US$1 millón en costos de tokens a la víctima, mientras vende planes de «acceso ilimitado» por US$60 al mes.

El patrón se repite en otras plataformas. Según GadgetReview, la brecha de Railway expuso claves de API y tokens OAuth de GitHub de 1.852 usuarios, con aproximadamente US$740.000 en uso no autorizado de IA y pérdidas totales superiores a US$1,1 millones cuando se suman unos US$371.000 en robo de criptomonedas, según el Wall Street Journal. Zeabur registró cerca de US$100.000 en cargos fraudulentos.

Wiz contó al menos nueve plataformas de desarrollo de IA divulgando incidentes en octubre y rastreó dos claves empresariales robadas hasta una de ellas: compartían «una primera actividad no autorizada idéntica, ocurrida dentro de los 30 minutos posteriores al acceso a credenciales reportado en la brecha del proveedor».

¿Qué significa esto para tu startup?

La brecha no es de Notion ni de Fireworks. Es de tu cadena de proveedores. Si tu equipo usa Notion AI, Cursor o cualquier herramienta que corre sobre un proveedor de inferencia, tu exposición depende de la configuración de retención de un tercero que probablemente nunca auditaste.

Hay un problema de incentivos de fondo: los proveedores de IA facturan por consumo de tokens, así que el daño financiero no se acumula gradualmente como en el cryptojacking — llega de golpe. Y las claves de API funcionan como credenciales al portador: quien las tiene puede generar cargos sin necesitar nada más.

Acciones concretas que puedes implementar esta semana:

Pregunta feature por feature, no proveedor por proveedor. «¿Tienen zero data retention?» es la pregunta equivocada, porque la respuesta puede ser sí y aun así haber datos almacenados. La correcta es: «¿qué features específicas almacenan contenido del cliente?» Fireworks lista tres: stored responses, batch jobs y training.
Verifica cómo está configurada la política, no cómo se describe. En Fireworks, cualquier miembro de la cuenta puede leer la configuración de política, y un campo zeroDataRetention ausente significa que la política está apagada. Si tu proveedor no te deja verlo, eso también es un dato.
Rota en el emisor, no solo en tu panel. Eliminar un secreto almacenado no invalida la credencial subyacente. Hay que rotarla con el proveedor que la emitió.
Preserva evidencia antes de borrar. Activar la política no elimina lo ya almacenado: stored responses, datasets y modelos subidos siguen ahí.
Configura límites de gasto y alertas por modelo nuevo. El patrón de validación de claves robadas es de bajo volumen: Wiz describe un único InvokeModel desde una IP residencial en un barrido de un minuto contra varias organizaciones. Las alarmas basadas solo en volumen no lo detectan.

Conclusión

La lección de esta brecha no es que Fireworks mintiera sobre su retención de datos. Es que «zero data retention» describe un default, no una garantía, y que en la mayoría de los casos viene apagado o limitado a ciertas operaciones. La Cloud Security Alliance ya lo había advertido el 23 de octubre, antes de que Fireworks ampliara su divulgación: los cuestionarios de proveedores deberían preguntar cómo se cifran los secretos de los clientes y quién puede descifrarlos.

Para un founder, la consecuencia práctica es que la seguridad de tus datos ya no se decide en tu infraestructura. Se decide en la configuración de retención de cada proveedor de IA que tocás, en las claves que guardás en variables de entorno y en si tienes límites de gasto antes de que alguien más use tu cuenta. Auditar eso toma una tarde. No hacerlo puede costar seis cifras en un día.