Una brecha en Fireworks AI expuso chats de Notion AI: qué se filtró y qué hacer hoy

Notion confirmó que transcripciones de chats de Notion AI quedaron expuestas por una brecha de seguridad en Fireworks AI, una empresa de infraestructura de IA a la que Notion le mandaba esas conversaciones para una función de análisis llamada Insights. Según el aviso oficial de Notion, actualizado el 10 de noviembre de 2026, el incidente alcanza a menos del 1% de los espacios de trabajo, y la empresa ya les escribió a los afectados el 9 de noviembre. Notion aclara que no fue una brecha de sus propios sistemas: los datos se filtraron del lado del proveedor, que describe un incidente con dos accesos en octubre.

Qué hacer hoy: si ni vos ni el dueño de tu espacio de trabajo recibieron un aviso de Notion, la empresa dice que no identificó tu espacio como afectado y que por ahora no hace falta hacer nada. Si te llegó el aviso, el dueño del espacio puede ver qué datos se tocaron desde la barra lateral, en el signo de pregunta y luego Security incident review, con la última versión de Notion y desde el navegador de una computadora: en el celular no aparece. Si tu espacio está entre los afectados y alguien pegó una contraseña, una clave de API o cualquier credencial en un chat de Notion AI, Notion recomienda cambiarla ya. Nosotros extendemos el consejo a todos: una credencial pegada en un chat de IA conviene cambiarla igual.

En criollo: el chat con la IA no era tan privado como el cuaderno al que parecía pertenecer. Y el problema no estuvo en Notion sino en el proveedor del proveedor, que es justo el lugar donde nadie mira.

Qué hacer si usás Notion AI

La página de ayuda que Notion publicó sobre el incidente separa lo que corresponde a cada rol dentro del espacio de trabajo:

• Si sos dueño del espacio y te llegó el aviso: entrá a la barra lateral, tocá el signo de pregunta y elegí Security incident review. Desde ahí, Download affected members genera un archivo CSV con nombres, correos, estado de membresía, identificadores de usuario y cuántas filas de datos afectados corresponden a cada persona.
• Si además verificaste el dominio de tu empresa en Notion, podés descargar el contenido afectado tal como fue accedido, y una versión anotada que marca posible información sensible en cada conversación para priorizar qué credenciales cambiar primero. Solo lo ven los dueños del espacio.
• Si sos miembro, el dueño puede generar con Copy link un enlace que te deja ver y descargar solamente tus propios datos afectados.
• En los espacios afectados: Notion pide tratar esos datos «como si hubieran quedado expuestos» y cambiar cualquier contraseña, clave de API u otra credencial que se haya pegado en Notion AI durante el período del incidente.

Lo que el aviso no dice es cuál es exactamente ese período. Como Notion no fecha los chats en público, conviene repasar todo lo que se haya pegado alguna vez en Notion AI; si no recordás qué pegaste, el dueño del espacio puede compartirte el enlace con tus propios datos afectados, y si el espacio tiene el dominio verificado, también puede descargar el contenido completo, con la fecha de cada conversación.

Qué se expuso, según Notion

Notion usaba a Fireworks para dos cosas. La primera, como proveedor de inferencia: le servía algunos de los modelos de pesos abiertos que aparecen dentro de Notion AI. La segunda, para tareas de clasificación de Insights, una herramienta que les muestra a los administradores cómo usa la IA la gente de su espacio de trabajo. Para hacer ese análisis, Notion le mandaba a Fireworks las conversaciones guardadas de Notion AI. Ahí está el problema.

El 8 de noviembre Fireworks le entregó a Notion el conjunto de datos que había sido accedido. Al analizarlo, Notion encontró que incluía «transcripciones de chats de Notion AI usadas para la función Insights, que para la gran mayoría de los espacios afectados no eran atribuibles». La empresa explica qué quiere decir eso: los chats no estaban etiquetados con quién los escribió ni de qué espacio venían, y no contenían los resultados de las herramientas que usa la IA. Fuera de lo que diga el texto de la conversación, sostiene Notion, no hay información que la vincule con un espacio, un usuario o una empresa.

Esa última aclaración tiene su trampa, y Notion la deja ver sin decirla: si alguien escribió en el chat el nombre de su empresa, un cliente o una contraseña, el texto mismo es lo que lo identifica. La FAQ lo confirma de otra manera: cualquier cosa que se haya escrito al modelo o que el modelo haya respondido en el chat forma parte de la transcripción.

Del otro lado, Notion dice que ninguna otra función quedó afectada. Las notas de reuniones con IA, incluidos audios, transcripciones y resúmenes, no se tocaron, salvo que se hayan usado como entrada dentro de un chat con Notion AI. Insights quedó desactivada mientras dura la investigación, y Notion dejó de servir modelos de pesos abiertos a través de Fireworks. Desde el 3 de noviembre, según la empresa, desconectó sus sistemas del proveedor, borró todos sus datos de allí y frenó todos los entrenamientos.

De «datos de prueba» a datos de clientes en seis días

La cronología que publicó Notion muestra cómo cambió el diagnóstico. El 2 de noviembre a la noche, Fireworks le avisó que actores maliciosos habían accedido a un pequeño conjunto de datos; al revisarlo, Notion concluyó que eran datos sintéticos de prueba de Notion AI, sin información de clientes. El 6 de noviembre, Fireworks le dijo que los atacantes podrían haber accedido a datos de clientes; el 8 confirmó cuál era el conjunto afectado definitivo, y el 9 Notion empezó a contactar a los espacios alcanzados.

Ese «menos del 1%» es una proporción, no un número: Notion no dice cuántos espacios son, y tampoco en qué países están. En el aviso, la empresa cierra con un compromiso: «Es nuestra misión asegurarnos de que esto no vuelva a pasar».

Fireworks: un incidente, dos accesos

Para Fireworks, lo de Notion es el capítulo más visible de un incidente que arrancó antes. En su primer boletín, la empresa contó que el 6 de octubre detectó el uso no autorizado de credenciales internas: un tercero accedió a variables de entorno usadas en trabajos de evaluación de un número limitado de cuentas, que según cree la empresa incluían claves de API y tokens guardados como secretos. En ese momento, Fireworks decía no tener evidencia de acceso a modelos, conjuntos de datos, datos de entrenamiento, información personal ni tráfico de inferencia de sus clientes.

El boletín actualizado, que la empresa fecha el 9 de noviembre, corrige ese panorama. Un proveedor de nube externo que alojaba máquinas de investigación y desarrollo de Fireworks sufrió un incidente el 23 de octubre, y al día siguiente el atacante lo usó para llegar a las máquinas de desarrollo de Fireworks y correr una carga de trabajo no autorizada «que derivó en un impacto adicional sobre datos de clientes». Lo que quedó expuesto, según Fireworks:

• Metadatos de recursos: identificadores, nombres, descripciones y fechas de creación.
• Datos de facturación: direcciones de facturación y envío, historial de facturas y pagos, saldo y uso de créditos. Fireworks aclara que no guarda números de tarjeta y que esos no se vieron afectados.
• Pesos de modelos incompletos y conjuntos de datos de algunos clientes. Ninguna de las dos empresas dice en cuál de estas categorías entraban los chats de Notion.

Fireworks dice que trabaja con Unit 42, el equipo de respuesta a incidentes de Palo Alto Networks, que avisó a las fuerzas de seguridad y que desde el 25 de octubre no detectó nuevos accesos exitosos a la plataforma que usan sus clientes. Entre las medidas, desactivó la subida y descarga de conjuntos de datos de autoservicio para inferencia por lotes y entrenamiento mientras investiga.

Detrás, un negocio: el secuestro de modelos de IA

Fireworks no nombra a los atacantes, pero sí los describe: dice que la evidencia apunta a un grupo cibercriminal con motivación económica, que busca vender acceso no autorizado a modelos de lenguaje a través de pasarelas ilegales de enrutamiento. Esa práctica tiene nombre en la industria: LLMjacking, el secuestro de modelos de IA con credenciales robadas para revender su uso mientras el dueño legítimo paga la cuenta.

El 2 de noviembre, el Google Threat Intelligence Group y Mandiant publicaron un informe sobre el auge de esta práctica, que Fireworks cita en su boletín. El informe no menciona a Fireworks ni a Notion, pero da la escala del negocio. Según Mandiant, las intrusiones que atendió en 2026 alcanzaron a organizaciones de América del Norte, América del Sur y Asia-Pacífico, y el costo puede subir muy rápido:

«A diferencia del consumo gradual de recursos asociado al cryptojacking, el LLMJacking puede generar picos enormes de cargos fraudulentos en la nube en cuestión de horas.»Mandiant y Google Threat Intelligence Group, 2 de noviembre de 2026 (traducción de TCD)

El mismo informe habla de cargos fraudulentos de más de 100.000 dólares en un solo día y de casos que acumularon un millón antes de que se cortara el acceso. Para el usuario de Notion, el dato importa por otra razón, y esta es una lectura nuestra: el acceso a modelos de IA se volvió un botín en sí mismo, los proveedores que lo administran quedan en la mira, y que lo que se les manda queda tan protegido como lo esté el proveedor.

La letra chica de la «cero retención»

La parte más incómoda del caso está en la FAQ de Notion. La empresa ofrece a sus clientes Enterprise un compromiso de retención cero de datos (ZDR, por sus siglas en inglés): los proveedores de modelos a los que les pasa los pedidos de Notion AI no deberían guardar ni la consulta ni la respuesta. Pero Notion explica que ese compromiso no cubre las funciones que necesitan guardar los datos para funcionar, como el historial de chats e Insights. Aun así, para Insights, Fireworks le había dado un compromiso contractual de cero retención por el uso de su plataforma.

«Lamentablemente, durante nuestra investigación nos enteramos de que se retuvieron datos de los endpoints de Fireworks que usábamos.»Notion, página de ayuda sobre el incidente (traducción de TCD)

Fireworks, por su parte, sostiene en su boletín que no detectó impacto en sus servicios de inferencia, en el SDK de entrenamiento ni en Nexus, que define como de retención cero por defecto. Las dos cosas pueden ser ciertas a la vez si los datos de Notion pasaban por otro servicio de Fireworks, como el de conjuntos de datos, pero ninguna de las dos empresas lo explica en sus documentos. Lo que sí anunció Notion es una auditoría de sus proveedores críticos, como los de inferencia y los procesadores de datos, para verificar que cumplan las políticas de minimización de datos y de retención cero.

Qué le cambia a cada uno

Si usás Notion para lo personal

Notion no dice qué tipo de espacios ni qué planes quedaron alcanzados, así que la única referencia es su correo. Aunque no te haya llegado, si en algún chat de Notion AI pegaste una contraseña o una clave, cambiala igual: es nuestro consejo, no una instrucción de Notion. Y si esa misma contraseña la usás en otros servicios, cambiala también allí: una credencial reciclada convierte un problema de un sitio en uno de todos.

Si tu pyme usa Notion como wiki o gestor de proyectos

Quien administre el espacio es quien recibe el aviso, así que conviene que alguien revise ese correo hoy y no lo deje en la bandeja de promociones. Si el espacio está afectado, Notion pide cambiar las credenciales que hayan pasado por el chat, y conviene hacerlo aunque no haya señales de uso indebido: es lo que Fireworks les pide a sus propios clientes con las claves expuestas.

Si tu empresa contrató Notion Enterprise con retención cero

El caso deja una pregunta para hacerle a cualquier proveedor de software con IA: qué funciones quedan afuera de la retención cero y a qué terceros les llegan esos datos. En Notion, la respuesta ya está escrita en su FAQ: el historial de chats e Insights guardaban datos fuera de ese compromiso.

Y para todos, la lección vieja con ropa nueva: un chat de IA no es un gestor de contraseñas. Lo que se le escribe a un asistente puede terminar en manos de un proveedor que el usuario ni sabía que existía.

Lo que todavía no se sabe

• Cuántos espacios son, en números. Notion solo da la proporción: menos del 1%.
• Si hay espacios afectados en América Latina. Ninguno de los avisos detalla países.
• Qué período cubren los chats expuestos. Notion no lo publica; solo los dueños de espacios con dominio verificado ven la fecha de cada conversación en el CSV anotado.
• Por qué los datos quedaron retenidos pese al compromiso de cero retención, y en qué servicio de Fireworks estaban.
• Si los datos se publicaron o se vendieron. Ninguna de las dos empresas lo dice, y la investigación sigue abierta en las dos.
• Qué otros clientes de Fireworks quedaron alcanzados. El boletín habla de «un conjunto limitado de cuentas» sin nombrarlas.

Fuentes

• Notion, «Fireworks AI incident» (aviso de seguridad, en inglés), publicado el 9 de noviembre de 2026 y actualizado el 10 de noviembre. Traducción de TCD.
• Notion, «Notice about the Fireworks AI incident that may impact some Notion workspaces» (centro de ayuda, en inglés), consultado el 11 de noviembre de 2026. Traducción de TCD.
• Fireworks AI, «Update on October 2026 security incident» (en inglés), 9 de noviembre de 2026. Traducción de TCD.
• Fireworks AI, «Fireworks October 2026 security incident» (en inglés), publicado el 9 de octubre de 2026 y actualizado el 10.
• Mandiant y Google Threat Intelligence Group, «The Rise of LLMJacking: How Threat Actors Monetize Compromised Cloud and Model Resources» (en inglés), 2 de noviembre de 2026. Traducción de TCD.
• BleepingComputer, «Notion says Fireworks breach exposed customer AI chat transcripts», de Bill Toulas (en inglés), 11 de noviembre de 2026.
• The Hacker News, «Fireworks AI Confirms Wider Breach Affecting Customer Datasets, Model Weights and Notion AI Chats», de Ravie Lakshmanan (en inglés), 10 de noviembre de 2026.
• Créditos de imagen: fotomontajes editoriales asistidos por IA con el logo de Notion tomado de su sitio oficial.

¿Alguna vez le pegaste una contraseña a un chat de IA? No hace falta que confieses, pero cambiala. Contanos en los comentarios ⬇️
Visitá la tienda