/// Signal

Notion : les conversations volées servaient à mesurer l’usage de l’IA

Le fait : Notion a publié une note d’aide reconnaissant que des conversations de ses utilisateurs avec Notion AI pouvaient s’être retrouvées entre les mains d’acteurs malveillants — la note elle-même écrit « pourraient avoir été exposées », et la date du 9 novembre est celle que donne Numerama, la page ne portant aucune date de publication. La fuite ne vient pas de Notion mais de Fireworks AI, son prestataire, victime d’une intrusion ; Notion chiffre l’exposition à « moins de 1 % des espaces de travail Notion » et précise que les transcriptions concernées étaient « non attribuables ». La note dit aussi, en une ligne qui explique tout le reste, pourquoi ces transcriptions se trouvaient chez un tiers : Fireworks faisait « des tâches de classification afin d’aider les clients à comprendre leur propre utilisation de l’IA grâce à une fonctionnalité de Notion appelée Insights ». Le même jour, Fireworks mettait à jour son enquête, nettement plus large que son bulletin d’octobre.

Ce que Notion décrit avec précision, c’est le périmètre. Les données exposées sont, selon Notion, des « sessions de discussion non attribuables avec l’IA de Notion », et l’entreprise définit le mot deux fois : les discussions « n’étaient pas associées à leur auteur ni à l’espace de travail dont elles provenaient », et « les transcriptions ne contenaient pas de résultats d’appels d’outils » — autrement dit, ni le contenu des pages Notion, ni les données externes que l’assistant va chercher pour répondre. « Hormis les mots figurant dans les transcriptions des discussions elles-mêmes », écrit Notion, les données ne contenaient aucune information permettant d’identifier précisément l’espace de travail, l’utilisateur ou l’entreprise. La conséquence pratique est une recommandation qui vaut d’être lue deux fois : « Nous vous recommandons de traiter ces données comme si elles avaient été exposées », et, si un mot de passe, une clé API ou un autre identifiant a été collé dans Notion AI pendant la période, « nous vous recommandons de les renouveler immédiatement ». Les propriétaires d’espaces concernés peuvent consulter les données depuis la barre latérale, par le menu « ? » puis « Examen de l’incident de sécurité » — sur ordinateur uniquement, pas sur mobile. Ceux qui gèrent un forfait Enterprise peuvent en plus accéder à deux fichiers CSV : les données affectées, et les mêmes données annotées avec l’utilisateur associé à chaque transcription. Ces annotations, précise la note, n’ont pas été exposées.

La note de Fireworks est plus instructive que celle de son client, parce qu’elle montre que la brèche a changé de dimension en un mois. Le bulletin initial, publié le 9 octobre et mis à jour le 10, décrivait une intrusion découverte le 6 octobre : un tiers non autorisé avait utilisé des identifiants internes pour accéder à des « environment variables used in evaluation jobs in a limited number of customer accounts ». Il affirmait alors n’avoir trouvé aucune preuve d’accès aux modèles, aux jeux de données, aux données d’entraînement, au trafic d’inférence ou aux données personnelles des clients, dans le périmètre de sécurité dont il a le contrôle, et rappelait sa règle de non-conservation, la plateforme étant « ZDR », pour zero data retention : « Fireworks does not store prompts or outputs by default, as our platform is ZDR. » La mise à jour du 9 novembre dit autre chose. Fireworks a prévenu les forces de l’ordre et confié l’analyse à Palo Alto Networks Unit 42 ; l’accès a touché, depuis, « account and billing information » et, « for a limited set of accounts », « secrets, datasets, and incomplete models » — donc des secrets, des jeux de données et des poids de modèles incomplets. La cause est nommée : un fournisseur de cloud tiers hébergeant des machines de recherche et développement de Fireworks a lui-même été compromis le 23 octobre, et le 24 octobre l’acteur non autorisé s’en est servi pour atteindre des machines de développement et lancer une charge de travail non autorisée, « that led to additional customer data impact ». Les indices, enfin, désignent un groupe cybercriminel financièrement motivé, qui vend à des passerelles de routage illicites les jetons tirés d’un accès non autorisé à des grands modèles — ce que la mise à jour nomme « LLMJacking ».

Remis dans l’ordre, les faits donnent une chronologie que les documents datent presque entièrement. Le 6 octobre, Fireworks identifie l’intrusion. Le 9 octobre, elle publie son bulletin. Le 23 octobre, un de ses fournisseurs de cloud est compromis. Le 24 octobre, l’intrus atteint ses machines de développement. Le 3 novembre, Notion coupe toutes ses connexions, supprime les données présentes dans le système Fireworks, cesse de lui envoyer du trafic et interrompt ses exécutions d’entraînement. Le 6 novembre, Fireworks prévient que des acteurs malveillants ont peut-être accédé à des données clients. Le 8 novembre, elle confirme l’existence d’un nouveau jeu de données. Cette dernière date porte la pièce la plus importante du dossier, et c’est Notion qui l’écrit : « Après analyse des nouvelles données, nous avons découvert qu’elles incluaient des transcriptions de discussions avec l’IA de Notion, non attribuables, utilisées pour la fonctionnalité Insights. » Le lien entre le jeu de données confirmé par le prestataire et les transcriptions est donc énoncé, noir sur blanc, par le client. Reste une date que ne porte aucun des trois documents du dossier, celle de la publication de la note de Notion : nous la datons du 9 novembre d’après Numerama, et la page elle-même n’en porte aucune. Ce qui demeure ouvert est autre chose, et c’est plus étroit : aucun des trois documents ne dit sur quel système de Fireworks tournaient ces tâches de classification. Fireworks écrit : « we have not detected any impact to Inference, Training SDK and Nexus, which are all zero data retention (ZDR) by default » ; les transcriptions de Notion n’étaient pas de l’inférence, et la mise à jour dit que des « datasets » ont été atteints pour un nombre limité de comptes. Le chemin exact entre ces deux phrases n’est écrit nulle part, et nous ne le présentons donc pas comme établi.

Il reste trois choses à retenir, et la première est que le chiffre qui circule vient de la partie concernée. « Moins de 1 % des espaces de travail » est une estimation de Notion, publiée dans sa propre note, sans nombre absolu et sans période de référence : ni le nombre d’espaces concernés, ni la fenêtre exacte pendant laquelle les transcriptions ont été envoyées, n’y figurent. La deuxième est une leçon de sous-traitance qui n’a rien de théorique : Fireworks sert, selon Notion, « des dizaines de milliers de clients » et est « utilisée par des centaines de milliers de développeurs » ; quand ce fournisseur tombe, ses clients tombent avec lui, et ce sont eux qui doivent prévenir leurs propres utilisateurs. La troisième est la plus utile, et elle ne parle pas de sécurité : une conversation avec un assistant d’entreprise n’est pas forcément traitée là où l’on croit. Il a fallu, ici, une fonctionnalité de mesure d’usage — Insights, désactivée pendant l’enquête — pour que des transcriptions de conversations partent chez un prestataire. Notion indique par ailleurs ne plus proposer de modèles à poids ouverts par l’intermédiaire de Fireworks, et sa FAQ rappelle que des clients du programme LEAP acceptent de fournir leurs données, dont l’entreprise dit s’être servie « pour expérimenter l’entraînement de modèles spécifiques à des tâches sur Fireworks ».