Fireworks AI 再遭入侵：Notion 约 1% 客户的聊天记录被拿走

为开发者提供开源模型推理服务的 Fireworks AI，确认了一次数据泄露。攻击者先攻破其云服务商，再进入 Fireworks 的一个开发系统，从而接触到部分客户数据——包括账单信息和一些数据集。

受影响名单里有一个熟悉的名字：Notion。它在本周确认，黑客拿走了使用 Notion AI”Insights”功能客户的聊天记录。

一分钟速览

• 入侵路径：云服务商 → Fireworks 开发系统 → 客户数据
• 被盗内容：客户账单信息、部分数据集
• 已确认受影响客户：Notion，约 1% 的客户受影响
• 泄露细节：Notion AI”Insights”功能客户的聊天记录，含模型的输入与输出
• 处置：Notion 于 11 月 3 日切断与 Fireworks 的连接、删除数据、停止互通
• 背景：这是 Fireworks 两个月内第二次安全事件
• 动机：Fireworks 判断攻击者以牟利为目的，目标是倒卖模型 token

一次典型的供应链连锁

这条攻击链值得拆开看。第一跳是云服务商——攻击者没有直接打 Fireworks，而是从它依赖的基础设施下手。第二跳是开发系统，这类环境通常权限较宽、审计较松，是进入生产网络的理想跳板。第三跳才是客户数据。

每一跳都不是”高深漏洞”，而是权限边界的问题。云厂商信任租户，租户信任自己的开发环境，开发环境信任内部服务——链条越长，最弱的那一环越难被发现。

为什么聊天记录比账单更敏感

账单信息泄露通常导致的是欺诈风险，可以靠换卡、监控交易来处理。聊天记录的性質完全不同：它是内容。

Notion 的说明是，泄露内容包含”写入对话的模型输入或输出”，但大量数据无法归属，无法确定来自哪个客户。这句话说明两件事：一是泄露的是原始日志而非结构化记录，二是 Notion 自己也难以完整还原影响面。

对使用 Insights 的团队来说，这意味着过去一段时间里贴进对话的内容——会议纪要、产品草稿、客户反馈、可能还有合同片段——都可能落在别人手里。这类损失不会立刻显现，但会在很久以后以奇怪的方式出现。

倒卖 token 是一门什么生意

Fireworks 判断攻击者”以牟利为目的，目标是从入侵访问大模型中获利，把 token 卖给未授权的第三方”。

这个描述指向一种正在成形的黑产：手里有一批被泄露的 API 密钥或者被攻破的推理端点，就可以按折扣价对外提供模型调用。买家拿到的是便宜的算力，卖家烧的是别人的账单，而平台方在账单异常之前几乎察觉不到。

这也解释了为什么推理服务商成了目标。它们手里握着大量密钥、大量额度,而且是按量计费——被薅的损失可以很大，取证却很难。

两个月里第二次

这是 Fireworks 在两个月内的第二次安全事件，上一次发生在 10 月。

连续出事通常说明两件事之一：要么是同一批攻击者在反复尝试，要么是根因没有真正修掉。无论是哪一种，对企业客户的采购决策都是坏消息——尤其当这家厂商的定位是”帮开发者省事”的时候，省事和安全往往互相拉扯。

给开发者的几条实用建议

第一，密钥分级。生产密钥与测试密钥分开，给每个服务单独的密钥，出问题能精确吊销。

第二，额度告警。给每个密钥设置日用量上限和异常波动告警，倒卖 token 的行为会在用量曲线上留痕。

第三，数据分级。不要往第三方推理端点发送可以识别到个人的原始内容；如果必须发，先脱敏。

第四，供应商退出预案。Notion 在 11 月 3 日切断连接并删除数据，这个动作之所以能快速执行，是因为它知道自己把哪些数据放在了哪里。很多公司做不到这一点。

最后一句更宏观：AI 应用层的竞争，正在从”谁的模型好”转向”谁的依赖链干净”。这条线上没有捷径。