Biztonsági incidens érintette a Notion AI-beszélgetéseit egy beszállítójuk miatt

A Notion szerint a Fireworks AI nevű harmadik féltől származó beszállítójuk biztonsági incidensről értesítette őket, amely kevesebb mint 1% Notion-munkaterületet érintett. A cég a biztonsági közleményben részletezte az esetet, és azt írja, a vizsgálat még zajlik. (Hacker News)

Az érintett ügyfeleket a Notion már felvette a kapcsolatot. Akiknek nem jeleztek, a munkaterületük az értesítés szerint nem volt érintett, így náluk egyelőre nincs teendő. Az érintett munkaterület-tulajdonosok a biztonsági incidens-áttekintésben tekinthetik meg és tölthetik le az érintett adatokat, ez asztali böngészőn keresztül lehetséges.

Milyen adatok érintettek

Az érintett adatok között szerepelnek a Notion AI-val folytatott chatbeszélgetések szövegei. A Notion azt javasolja, hogy a munkaterület-tulajdonosok kezeljék úgy ezeket az adatokat, mintha kiszivárogtak volna. Aki jelszót, API-kulcsot vagy más hitelesítő adatot illesztett be a Notion AI-ba az érintett időszakban, annak a cég azonnali cseréjét ajánlja.

A kapcsolat megszakítása

A Notion november 3-tól lecsatlakozott a Fireworks rendszereiről, törölte az adatokat a Fireworks oldalán, és leállította az adatok és forgalom küldését. A tanítási futtatásokat is felfüggesztették. Az Insights funkciót, amely az adminisztrátoroknak mutatja meg, hogyan használják a munkatársak az AI-t, kikapcsolták a vizsgálat idejére.

A Notion korábban a Fireworkst osztályozási feladatokra és nyílt súlyú modellek kiszolgálására használta. Emellett az LEAP program résztvevőinek önkéntesen átadott adatait is felhasználták feladatspecifikus modellek betanítására a platformon.

Nulla adatmegőrzés és a vizsgálat tanulságai

A Notion a vállalati ügyfeleinek nulla adatmegőrzést (ZDR) ígér, ez a modellszolgáltatóknak küldött API-kérésekre vonatkozik. Az Insights funkcióhoz azonban a Notion tárolta a kéréseket és válaszokat, és ezeket a Fireworks elemezte. A cég a vizsgálat során derítette ki, hogy a Fireworks használt végpontjai megőriztek adatokat, holott a szolgáltató szerződésben vállalta a nulla adatmegőrzést.

A Notion ezért kritikus beszállítóinak — köztük a következtetést szolgáltató és az adatfeldolgozó partnereinek — auditját ígéri, hogy ellenőrizze, betartják-e az adatminimalizálási és nulla megőrzési szabályokat. A cég szerint a Fireworks oldalán november 3-án lezárt kapcsolat után a vizsgálat még zajlik.