Por Canuto  

Notion informó que revocó claves de API encontradas en chats de IA vinculados con el incidente de su proveedor Fireworks AI. Aunque la empresa dijo que el caso afectó a menos del 1% de sus espacios de trabajo y no reportó usos indebidos de esas claves, pidió a los clientes afectados revisar sus mensajes y rotar cualquier credencial que hubieran pegado allí.
***

  • Notion revocó el 11 de noviembre claves de API encontradas en mensajes de usuarios afectados por el incidente de Fireworks AI.
  • Las transcripciones de Insights de la mayoría de los espacios afectados no tenían etiquetas de autor ni de espacio de trabajo, pero su texto podía contener datos identificativos o credenciales.
  • La empresa deshabilitó Insights, dejó de servir modelos de pesos abiertos a través de Fireworks y recomendó rotar otras credenciales pegadas en Notion AI durante el período del incidente.

Notion revocó el 11 de noviembre claves de API que encontró dentro de mensajes de usuarios afectados por un incidente de seguridad relacionado con Fireworks AI, su proveedor. La empresa dijo que el episodio alcanzó a menos del 1% de sus espacios de trabajo; aunque no reportó usos indebidos de las claves revocadas, recomendó a los clientes identificados revisar la información afectada y cambiar las credenciales que hubieran compartido en chats de Notion AI.

Claves dentro de las conversaciones

El conjunto de datos involucrado incluía transcripciones de chats de Notion AI utilizados para Insights, una función que la empresa deshabilitó mientras investiga el caso. Según el aviso de seguridad de Notion, la mayoría de los espacios de trabajo afectados no tenía etiquetas que indicaran quién había escrito cada conversación ni a qué espacio pertenecía, y esas transcripciones tampoco incluían resultados de llamadas a herramientas.

La ausencia de esos metadatos, sin embargo, no garantizaba que el contenido fuera anónimo. Notion señaló que los mensajes podían incluir información capaz de relacionar una conversación con un usuario, un espacio de trabajo o una empresa, porque ese contexto seguía escrito en el texto aportado por las personas.

La investigación también encontró claves de API de Notion dentro de algunos mensajes afectados. La empresa las revocó el 11 de noviembre, una medida que inutiliza esas claves para solicitudes posteriores, pero que no equivale por sí sola a borrar todos los demás datos que pudieran aparecer en las transcripciones.

Las claves de API permiten que un software interactúe con un espacio de trabajo de acuerdo con los permisos concedidos por sus propietarios. La guía de seguridad de Notion advierte que quien posee un token puede realizar solicitudes dentro de las capacidades asignadas; por eso, una credencial pegada en una conversación puede representar un riesgo incluso cuando la transcripción carece de etiquetas de propiedad.

Cómo se conoció el incidente

Notion relató que recibió una notificación el 2 de noviembre que parecía referirse únicamente a datos sintéticos de pruebas. Tras esa primera alerta, desconectó sus sistemas de Fireworks, eliminó los datos almacenados en el sistema del proveedor y detuvo las comunicaciones durante la mañana del 3 de noviembre.

La secuencia cambió cuando Fireworks informó a Notion el 6 de noviembre sobre un posible acceso a datos de clientes. El proveedor confirmó la existencia de un nuevo conjunto de datos el 8 de noviembre, y Notion identificó allí las transcripciones de Insights relacionadas con usuarios afectados.

En una actualización del 9 de noviembre, Fireworks describió impactos en metadatos de recursos e información de facturación, además de secretos, conjuntos de datos y pesos de modelos incompletos para un grupo limitado de cuentas. La empresa también afirmó que no había detectado afectación en Inference, Training SDK o Nexus, servicios que, según indicó, tienen retención de datos cero de forma predeterminada.

Esos resultados del proveedor seguían siendo provisionales mientras continuaba su investigación, por lo que no deben interpretarse como una conclusión definitiva sobre todo el incidente. Notion, por su parte, dijo que ninguna otra función de su plataforma resultó afectada y que dejó de servir modelos de pesos abiertos a través de Fireworks, además de mantener Insights deshabilitado durante sus propias pesquisas.

Qué deben hacer los clientes afectados

La revocación de las claves de Notion localizadas en los mensajes no cubre necesariamente otras credenciales que los usuarios hayan escrito en sus chats. Por esa razón, la empresa recomendó revisar de forma segura los datos afectados dentro del espacio de trabajo, tratarlos como expuestos y rotar contraseñas, claves de API u otros secretos que se hubieran pegado en Notion AI durante el período del incidente.

Notion afirmó que ya se comunicó con los clientes que identificó como afectados. La recomendación de rotar credenciales apunta a reducir el riesgo asociado con datos sensibles presentes en las conversaciones, incluso si la empresa no informó de usos indebidos de las claves revocadas el 11 de noviembre.

El caso muestra por qué una transcripción sin autor o espacio de trabajo identificados no necesariamente queda desvinculada de sus usuarios: un nombre, una referencia interna o una clave pueden aportar contexto dentro del propio mensaje. En este incidente, Notion dijo que no había información externa que permitiera atribuir la mayoría de esos chats, más allá de lo que contenían las transcripciones mismas.

La compañía no reportó que otras funciones de Notion fueran afectadas ni que las claves cubiertas por su revocación se hubieran utilizado indebidamente. Mientras siguen las investigaciones de Notion y Fireworks, la instrucción concreta para los clientes identificados es revisar el material involucrado y cambiar cualquier credencial que hayan compartido en sus conversaciones de IA.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.
Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados