O que aconteceu

A Notion publicou um aviso sobre um incidente de segurança envolvendo a Fireworks AI, uma plataforma de infraestrutura de inteligência artificial usada por diversas empresas. O aviso informa que a Notion desconectou seus sistemas da Fireworks em 3 de novembro, apagou os dados existentes no sistema do fornecedor, interrompeu o envio de dados e tráfego e também parou as execuções de treinamento relacionadas ao serviço.

A comunicação oficial não descreve um vazamento geral do conteúdo dos workspaces. A investigação da equipe de segurança da Notion concluiu que menos de 1% dos workspaces pode ter sido afetado. O possível conjunto exposto é formado por algumas sessões de chat do Notion AI sem atribuição. Isso significa que as transcrições não estavam vinculadas ao nome de uma pessoa, a um workspace ou a uma empresa específica.

O ponto mais importante para equipes de segurança é separar o que foi confirmado do que é hipótese. A Notion afirma que os resultados de chamadas de ferramentas, como conteúdo de páginas ou dados externos obtidos pelo Notion AI, não estavam nas transcrições afetadas. Ainda assim, a empresa recomenda tratar o conteúdo sem atribuição como potencialmente exposto.

Como funciona

A Fireworks AI foi usada pela Notion em tarefas de classificação que ajudavam clientes a entender o próprio uso de inteligência artificial por meio do recurso Insights. A Notion também informou que usava o fornecedor como plataforma de inferência para modelos de pesos abertos dentro do produto. Clientes do Learning and Early Access Program, conhecido como LEAP, haviam voluntariamente compartilhado dados para experimentos de treinamento de modelos específicos.

Em uma integração desse tipo, o produto envia determinados dados para um subprocessador, o serviço executa uma tarefa de classificação, inferência ou treinamento e devolve um resultado. O risco não está apenas no modelo. Ele também envolve retenção, controle de acesso, isolamento entre clientes, descarte de dados, registros operacionais e resposta a incidentes do fornecedor.

Uma conversa com o Notion AI pode conter texto colado pelo usuário, perguntas sobre documentos, instruções internas ou segredos inseridos por engano. O aviso da Notion diferencia essas conversas dos resultados de ferramentas. Mesmo sem identificação do workspace, o texto da conversa pode continuar sensível.

Quem foi afetado

A informação pública disponível indica que menos de 1% dos workspaces da Notion pode ter sido afetado. Esse número não equivale a uma contagem de usuários, mensagens ou empresas e não permite concluir que todo conteúdo de um workspace tenha sido exposto. O aviso também informa que não há informação adicional ligando o chat a workspaces, usuários ou empresas específicos.

A possibilidade de exposição merece atenção especial em organizações que usam o Notion AI para rascunhar código, resumir documentos internos, analisar contratos ou trabalhar com informações de clientes. O incidente não transforma automaticamente todo documento da Notion em público. Ele mostra, porém, que uma conversa enviada a uma ferramenta de IA precisa ser tratada como fluxo de dados para terceiros, mesmo quando a interface parece fazer parte do produto principal.

Para o programa LEAP, a Notion descreveu um contexto diferente: participantes voluntariamente forneciam dados para testar tecnologia de IA. A existência desse programa não significa que todos os workspaces participavam dele. A equipe deve conferir os contratos, configurações e comunicados específicos da própria conta.

Como identificar

Comece pela inventariação. Liste quais equipes usam Notion AI, quais recursos estão habilitados e quais tipos de informação costumam ser colados nas conversas. Procure, nos registros disponíveis da organização, atividades próximas ao período informado pela Notion e sinais de uso incomum das credenciais que poderiam ter aparecido em chats.

Faça uma busca local e controlada por padrões de segredo em exportações autorizadas, como chaves de API, tokens, senhas, strings de conexão e certificados privados. Evite copiar esses valores para novos serviços durante a investigação. A busca deve ser feita com ferramentas aprovadas e os resultados devem ser tratados como material confidencial.

Também é importante verificar o inventário de subprocessadores e o fluxo de dados do Notion AI. A pergunta não é apenas se a empresa usa IA, mas quais dados saem do ambiente, por quanto tempo são retidos, se são usados para treinamento e quais controles existem para exclusão e resposta a incidentes.

Como se proteger

Se uma senha, chave de API, token, certificado ou credencial foi colado em uma conversa do Notion AI durante o período de risco considerado pela equipe, faça a rotação imediatamente. Revogue o segredo anterior, gere um novo valor, atualize o serviço dependente e confirme nos logs que o valor antigo deixou de funcionar. Não basta trocar a senha em um gerenciador se a mesma chave continua válida em produção.

Revise as permissões do Notion AI e do programa LEAP conforme a política da organização. Desabilite recursos que não são necessários para a operação e estabeleça uma classificação para conteúdos que não podem ser enviados a subprocessadores. Uma regra simples deve proibir o uso de chats de IA para senhas, tokens, dados pessoais desnecessários, chaves privadas e informações reguladas sem aprovação específica.

Peça ao fornecedor as informações aplicáveis ao seu workspace, o período de retenção, o escopo dos dados e as medidas de descarte. Preserve o comunicado original e registre a decisão da organização. Em ambientes regulados, envolva privacidade, jurídico e resposta a incidentes antes de concluir que não existe obrigação de notificação.

Comparação com outros casos

Incidentes em fornecedores de IA diferem de vazamentos tradicionais de banco de dados. Em um vazamento clássico, a equipe procura tabelas, arquivos e identificadores. Em uma integração de IA, o material pode estar em prompts, respostas, transcrições, dados de avaliação, logs de inferência ou conjuntos de treinamento. O formato muda a investigação, mas a regra continua: mapear o dado, o destinatário, o período e o controle de acesso.

Também é diferente de uma falha de autenticação no próprio Notion. O aviso descreve um incidente na Fireworks AI e afirma que a Notion interrompeu a conexão com o fornecedor. Isso reforça a necessidade de avaliar a cadeia de subprocessadores, sem presumir que os controles da aplicação principal eliminam o risco de cada serviço usado nos bastidores.

Análise técnica

Não há um identificador CVE divulgado no aviso oficial da Notion para este incidente. Por isso, não é correto atribuir um CVSS, inventar uma causa técnica ou afirmar que houve exploração de uma vulnerabilidade específica. O que pode ser analisado com segurança é o modelo de exposição: transcrições sem atribuição podem ter ficado acessíveis no contexto do incidente, enquanto resultados de chamadas de ferramentas e outros dados do workspace foram descritos como fora desse conjunto.

O termo sem atribuição é relevante. A remoção de identificadores reduz a capacidade de relacionar uma conversa a uma organização, mas não remove necessariamente dados confidenciais escritos pelo usuário. Uma frase contendo uma senha, um endereço interno ou um plano de produto pode continuar útil para um atacante, ainda que o nome do workspace não esteja presente.

Do ponto de vista de engenharia, os controles prioritários são minimização de dados, isolamento entre clientes, retenção curta, exclusão verificável, criptografia, trilhas de auditoria e rotação de credenciais. A organização cliente deve complementar esses controles com prevenção de segredos em prompts, classificação de dados, revisão de fornecedores e monitoramento de uso.

Impacto e consequências

O impacto potencial depende do conteúdo que cada usuário inseriu nas conversas. Uma conversa com texto público pode ter baixo risco. Uma conversa contendo uma credencial ainda válida pode permitir acesso a outro sistema. Um texto com dados pessoais pode gerar obrigações de avaliação de privacidade. Um rascunho estratégico pode produzir risco comercial mesmo sem conter um identificador formal.

O fato de o possível conjunto afetado ser menor que 1% não elimina a necessidade de triagem. Percentuais de população não dizem quais contas foram atingidas. O caminho correto é cruzar o comunicado do fornecedor com o inventário da organização, avaliar o conteúdo possível e priorizar a rotação dos segredos que oferecem impacto imediato.

Dicas práticas e boas práticas

Adote um checklist simples para qualquer integração de IA:

  • Classifique o dado antes de enviá-lo ao recurso de IA.
  • Bloqueie senhas, tokens, chaves privadas e strings de conexão nos prompts.
  • Use dados sintéticos em testes e exemplos de código.
  • Revise subprocessadores, retenção e uso para treinamento.
  • Configure alertas para criação e uso anormal de credenciais.
  • Tenha um procedimento de rotação pronto antes de um incidente.
  • Registre decisões de privacidade e exceções aprovadas.

Para desenvolvedores, scanners de segredo no repositório e nos artefatos de CI ajudam, mas não cobrem chats de IA. Treinamento e controles de prevenção de perda de dados precisam incluir esse canal. Para administradores, a revisão deve incluir grupos, permissões, integrações e contas que podem ativar recursos de IA.

Conclusão: o que fazer agora

O incidente da Fireworks AI comunicado pela Notion é um lembrete prático de que o risco de dados pode atravessar a fronteira da aplicação principal. A Notion informou que menos de 1% dos workspaces pode ter sido afetado, que algumas sessões sem atribuição podem ter sido expostas e que resultados de chamadas de ferramentas não faziam parte dessas transcrições. A empresa também informou que desconectou seus sistemas, apagou os dados no fornecedor e interrompeu o tráfego e os treinamentos relacionados.

A ação imediata é revisar se alguém colou credenciais ou informações sensíveis no Notion AI e rotacionar qualquer segredo que possa ter sido exposto. Depois, documente o fluxo de dados, revise as configurações de IA, confirme as condições aplicáveis ao seu workspace e atualize a política interna. Monitoramento contínuo e minimização de dados reduzem o impacto quando um subprocessador enfrenta um incidente.