Notion 送去分类的对话在 Fireworks 被盗

Notion 用户和 AI 的对话被人拿走，出口不在聊天窗口，在一个替管理员统计 AI 用法的功能上。据 Notion 11 月 11 日更新的事故公告，攻击者从推理服务商 Fireworks AI 拿到的数据里，有 Insights 功能用到的 Notion AI 对话记录，波及不到 1% 的工作区。

口子是 Notion 自己的产品设计开出来的，Fireworks 被攻破只是让它露了出来。

从「只有测试数据」到「当作已泄露」隔了六天

把两家公告的日期排在一起，能看清事情怎么一步步扩大。Fireworks 的日期按太平洋时间。

• 10 月 24 日：据 Fireworks 11 月 9 日的更新公告，托管其研发机器的一家云服务商前一天出事，攻击者借此进入 Fireworks 开发机，跑了未授权任务，波及更多客户数据。Fireworks 称当天就已发现。
• 11 月 2 日晚：Fireworks 通知 Notion 有一小批数据被访问。Notion 查完的结论是合成测试数据，不涉及客户。
• 11 月 3 日早上：Notion 断开与 Fireworks 的连接，删掉存在 Fireworks 系统里的全部数据。
• 11 月 6 日至 8 日：Fireworks 改称可能涉及客户数据，8 日确认最终数据集，Notion 在里面找到了 Insights 的对话记录。
• 11 月 9 日至 11 日：Notion 联系受影响客户，建议把数据当作已泄露；11 日又吊销了在用户消息里找到的 Notion API 密钥。

从攻击者动手到客户收到通知，过了半个多月。Notion 11 月 3 日删数据时，要删的东西早已在 Fireworks 存了一份。

Notion 称，多数受影响工作区的记录「无法归属」，没有作者和工作区标签，也不含工具调用结果。这能挡住按人对号入座，挡不住对话原文：员工贴进去的会议纪要、客户信息都还在。Notion 去吊销消息里的 API 密钥，说明至少这类密钥确实被贴进过对话。

零留存写给了聊天，没写给统计

Notion AI 产品页给企业版的承诺是「No data is stored with LLM providers」。Fireworks 10 月的公告也说，它默认不存提示词和输出。两句话都对着实时推理：请求进来，答案出去，内存里不留。

Insights 走的是另一条路。Notion 公告说，它用 Fireworks 跑分类任务，帮客户看清自己的 AI 用法。按 Notion 帮助中心的设置页，Insights 只给商业版和企业版的工作区所有者与管理员看，统计用例和对话数量。要分类，就得先把一批对话交出去。

据 VentureBeat 11 月 11 日的报道，Fireworks 的零留存政策只对企业账户开放、默认关闭，开启后会拒绝批量推理、评测和数据集上传；两家都没说 Notion 的对话存在哪个功能里。

受影响的工作区里有多少是企业版，Notion 没有说。Notion AI 安全说明另写着，个别 AI 功能可能要用会留存数据的模型，由管理员在设置里开启；Insights 算不算这一类，公告没提。

两种情况都指向同一处：要么产品页那句承诺在 Insights 上没有兑现，要么这个功能本来就绕开了零留存。这是分析推断，依据是上面三份 Notion 自己的页面。

有人会说，被攻破的是 Fireworks 和它的云服务商，Notion 接到通知第二天就断开连接、删光数据，一家客户能做的都做了。

应急这一段我们认。我们不认公告里那句「this was not a breach of our systems」：把员工对话存进第三方、拿去替管理员做统计，是 Notion 的产品决定，攻击者只是顺着这个决定找到了数据。

一块数对话的看板，把对话送了出去

现在打开 Notion AI 设置，Insights 那一栏写着暂停。聊天窗口一切照旧，出事的是旁边那块替管理员数对话的看板。

企业审 AI 应用，只问模型厂商存不存数据已经不够，谁在统计你的对话，谁手里就有一份对话。Insights 可以说停就停，Fireworks 那边被拿走的对话，收不回来。