Hacker stahlen KI-Gespräche von Notion-Nutzern: Nicht Notion wurde geknackt, sondern die Cloud seines Zulieferers Fireworks

Wer die KI von Notion genutzt und ihr etwas geschrieben hat, das kein Fremder lesen sollte, für den ist diese Nachricht. Notion bestätigte, dass Hacker Transkripte von Gesprächen mit seiner KI erbeutet haben, und zwar von Nutzern der Funktion Insights. Darin steht laut Unternehmen „jede Eingabe an das Modell oder Ausgabe daraus, die im Gespräch aufgezeichnet wurde“. Betroffen sind rund 1 Prozent der Notion-Nutzer.

Am interessantesten ist der Weg dorthin. Niemand brach direkt bei Notion ein. Der Angreifer drang zuerst beim Cloud-Anbieter von Fireworks AI ein, einer Plattform, über die Entwickler offene KI-Modelle nutzen, von dort in das Entwicklungssystem von Fireworks und von dort zu den Daten der Kunden. Notion ist nur einer davon. Fireworks gibt an, Zehntausende Kunden weltweit zu haben, darunter das Legal-KI-Unternehmen Harvey und Cursor.

Bei Fireworks selbst wurden Abrechnungsdaten und ein Teil der Kundendatensätze entwendet. Das Unternehmen glaubt, dass die Angreifer finanziell motiviert sind: Ihr Ziel sei es, Zugang zu großen Sprachmodellen an Dritte zu verkaufen, die diese dann auf fremde Kosten nutzen. Es ist der zweite Einbruch bei Fireworks innerhalb von zwei Monaten, nach dem Vorfall im Oktober.

Notion reagierte am 3. November: Es trennte seine Systeme von Fireworks, löschte die gespeicherten Daten und kappte jede Verbindung zwischen den beiden Unternehmen. Ein Trost ist, dass laut Notion ein großer Teil der gestohlenen Daten keinem konkreten Nutzer zugeordnet werden kann. Aber „ein großer Teil“ heißt nicht „alle“.

Die Lehre reicht über eine App hinaus. Wer in ein KI-Tool schreibt, dessen Gespräch bleibt nicht nur bei der Firma, deren Logo man sieht, sondern wandert durch eine Kette von Zulieferern, von denen man nie gehört hat. Jedes Glied ist eine neue Tür für Angreifer. Wie viele wissen überhaupt, wer alles hinter einem gewöhnlichen KI-Chatfenster steckt?