Notion 情報漏洩の可能性｜Fireworks AIへの不正アクセスでAIチャットが流出か、利用者がやること

Notion 情報漏洩の可能性が、同社のヘルプセンターで告知された。Notion が利用していた AI 基盤 Fireworks AI への不正アクセスで、Notion AI との一部のチャットが流出した可能性がある。影響は全ワークスペースの1%未満と Notion は説明している。本記事は Notion の告知と Fireworks AI の告知2本を読み、2社の文言の範囲で整理した。

まずやること

・Notion の利用者：連絡が来ていなければ、Notion の案内では対応は不要。Notion AI にパスワードや API キーを貼り付けた覚えがあれば、連絡の有無にかかわらず替えておくと安全だ
・連絡を受けたワークスペースオーナー：サイドバーの「?」から「セキュリティインシデントのレビュー」を開き、該当データを確認する。そこに認証情報があれば、発行元で入れ替える
・Fireworks AI を直接使う開発者：通知メールを探す。届いていれば、名指しされた API キーと外部サービスの認証情報を入れ替える

外部のサービスや依存先から被害が及ぶ構図はサプライチェーン攻撃とは｜手口・防御ツール比較・npm 12の新機構まで実践解説にまとめている。

Notion 情報漏洩の可能性はいつ判明したか：時系列

2社の告知にある日付を1本に並べる。Fireworks AI の日付は太平洋夏時間（PDT）で書かれている。Notion の告知には公開日の表示が無い。

Notion が最初に連絡を受けた日は「今月初め」とあるだけで、日付は書かれていない。

何が起きたか：Fireworks AI への2回の侵入

Fireworks AI は、モデルの推論や学習を提供する AI 基盤の事業者だ。同社の告知は2本あり、1か月のあいだに影響の範囲が広がっている。

1回目（10月6日に検知）。内部の認証情報が不正に使われ、評価ジョブで使う環境変数が、限られた数の顧客アカウントで取得された。環境変数には、シークレットとして保存された API キーやトークンが含まれる。

2回目（10月24日）。Fireworks の研究開発用マシンを預かっていたクラウド事業者で、前日にセキュリティインシデントが起きた。不正な第三者はそれを使って開発用マシンに到達し、不正なワークロードを動かした。Fireworks は、これが顧客データへの追加の影響につながったとしている。

11月9日の更新で、影響を受けた内部アプリケーションから見えた情報は3種類と説明された。

・リソースのメタデータ：識別子、表示名、説明、作成日時など
・請求情報：請求先と配送先の住所、請求と支払いの履歴、残高、クレジットの利用状況。カード番号は保存しておらず、影響はない
・モデルの重みとデータセット：一部の顧客について、未完成のモデルの重みとデータセットの一部

攻撃者について Fireworks は、金銭目的のサイバー犯罪グループとのつながりを示す証拠がある、と書いている。狙いは、不正に得た LLM の利用枠を転売する「LLMJacking」だという。グループの名前は挙げていない。調査には Palo Alto Networks の Unit 42 が加わり、法執行機関にも通報済みだ。

Notion AI のチャットで流出した可能性があるもの

Notion は Fireworks を3つの用途で使っていた。AI の利用状況を見せる Insights 機能のデータ分類、製品内でのオープンウェイトモデルの推論、早期アクセスプログラム（LEAP）の参加者が提供したデータでのモデル学習の実験だ。

Notion の説明では、新たに確認されたデータに、Insights 機能で使われていた Notion AI のチャットの文字起こしが含まれていた。チャットには書いた人やワークスペースを示すラベルが無く、Notion のページの内容などツール呼び出しの結果も入っていない。

ここで読み違えやすい点が1つある。ラベルが無いことと、中身から持ち主がわからないことは別だ。チャットの本文に社名、人名、認証情報を書いていれば、それは文字起こしに残る。Notion 自身も「このデータは流出したものとして扱ってください」と書いている。

Notion の対応は次のとおり。

・Fireworks との接続を解除し、Fireworks 内のデータを削除した。データとトラフィックの送信、学習処理も止めた
・Insights 機能を無効化し、Fireworks 経由のオープンウェイトモデルの提供を停止した
・影響を受けたワークスペースのオーナーに連絡した

Notion 情報漏洩の可能性への対策：立場ごとにやること

Fireworks の告知には、見落としやすい注意が1つある。保存したシークレットを消すだけでは、元の認証情報は無効にならない。Fireworks に預けていた OpenAI や AWS などの鍵は、それぞれの発行元で入れ替える必要がある。怪しい動きが見つからなくても入れ替えるよう、同社は勧めている。

自分のリポジトリで Fireworks AI の利用を確認するコマンド

自分のチームが Fireworks AI を使っているかどうかは、通知メールだけでなくコードからも確かめられる。公式の Python SDK（fireworks-ai 1.2.33）は、鍵を環境変数 FIREWORKS_API_KEY から読み、api.fireworks.ai へ接続する。この2つの文字列をリポジトリから探す。

git fetch --all --prune
grep -rnIiE 'fireworks\.ai|FIREWORKS_API_KEY' . --exclude-dir=.git --exclude-dir=node_modules

接続先と環境変数名を置いたリポジトリでは、次のように該当行が出た。どちらも無いリポジトリでは何も出ず、終了コードは 1 だった。

./src/app.py:1:client = OpenAI(base_url="https://api.fireworks.ai/inference/v1")
./.env.example:1:FIREWORKS_API_KEY=dummy

これは利用の有無の確認で、被害の判定ではない。この結果だけでは、影響を受けたとも受けていないとも言えない。何も出なくても、鍵を CI やクラウドのシークレット管理にだけ置いていれば拾えないし、いま開いているブランチ以外は見ていない。行が出ても、自分のアカウントが対象かどうかは Fireworks からの通知で決まる。鍵をコミットしない仕組みは シークレットスキャンの入れ方｜gitleaksをコミット前・プッシュ時・CIの3層に組み込み誤検知を絞る に書いた。

影響範囲と、まだわかっていないこと

2社の告知を並べても、書かれていない点が残る。

Fireworks は、推論（Inference）、Training SDK、Nexus には影響を検知していないとしている。いずれも既定でデータを保持しない設定だからだという。一方、Notion のチャットは分類処理に使われていたデータだ。「既定で保持しない」という説明と、チャットの文字起こしが残っていたことの関係は、2社の文書からは確定できない。本記事も推測しない。

報道には「数週間で2度目の侵害」とする見出しもある。Fireworks 自身は、2本の告知を同じ「2026年10月のセキュリティインシデント」の続報として出している。どちらの告知も状態は「Active monitoring」で、調査は続いている。

開発者にとっての教訓は、AI 基盤に預けた鍵とデータの棚卸しだ。評価ジョブに渡す環境変数、学習用にアップロードしたデータセット、AI に貼り付けた文面は、どれも預け先の事故で外に出うる。サポート経由で預けた鍵が問題になった例は PingCAP不正アクセス｜NebuSec調査でTiDB Cloud APIキーは暗号化、サポート経由の鍵は要ローテ でも扱った。

参照ソース

・一部のNotionワークスペースに影響を与える可能性があるFireworks AIのインシデントに関するお知らせ（Notion ヘルプセンター）
・Fireworks October 2026 security incident（Fireworks AI）
・Update on October 2026 security incident（Fireworks AI）
・Nvidia-Backed Fireworks AI Notifies Customers of Its Second Hack in Weeks（Insurance Journal）