Notionを使っていて、Fireworks AIという会社と契約した覚えのある人は、ほとんどいないはずです。それでも、Notion AIに打ち込んだ文章の一部が、その会社への侵入を通じて攻撃者の手の届くところにありました。しかもNotionは、Fireworksとはデータを残さない約束を契約で結んでいたと説明しています。
Notionは2026年11月9日、AI処理を委託していたFireworks AIでセキュリティ事案が起き、Notionのワークスペースの1％未満が影響を受けたと公表した。対象は主に、管理者向け機能「Insights」の分析のためにFireworksへ送っていたNotion AIのチャット記録で、多くは利用者やワークスペースにひも付かない。Fireworksは、10月23日に研究開発用マシンを置くクラウド事業者で事案が起き、翌24日に開発機へ侵入されたと説明している。
Notionは11月3日にFireworksとの接続を切り、Insightsは調査のため停止中だ。Fireworksは攻撃者を、不正に得たLLMのトークンを売る「LLMJacking」に関わる金銭目的の犯罪グループとみている。
From: 
Notice about the Fireworks AI incident that may impact some Notion workspaces
【編集部解説】
Fireworks AIの侵害は、これまでに2本の記事で取り上げてきました。11月1日の【解説】では、10月に侵害を公表したAI開発基盤9社の1社として、10月6日に見つかった1回目（評価ジョブの環境変数が読まれた件）を扱いました。11月11日のNEAR AIの記事では、11月9日に更新された2回目の侵入経路に触れています。今回はその続報です。2回目の侵害が、Fireworksと直接の契約を持たないNotionの利用者にまで届いていました。
記事の軸にしたいのは、Notionがヘルプセンターで明かした一点です。Notionは、Fireworksから「プラットフォームの利用についてゼロデータ保持（ZDR）を約束する契約」を得ていたと説明しています。そのうえで、調査の過程で、使っていたFireworksのエンドポイントからデータが保持されていたことが分かったと書いています。契約の上ではゼロのはずだったデータが、実際には残っていました。
ZDRは、AIに送った依頼と応答を、モデル事業者の側に残さないという約束です。NotionがEnterpriseの顧客に約束しているZDRは、Notion AIの応答を作るために外部のモデル事業者へ送るAPIリクエストが対象です。チャット履歴やInsightsのように、Notion自身が保存しなければ成り立たない機能は、この約束の外にあります。Insightsは、ワークスペースのメンバーがAIをどう使っているかを管理者に示す機能です。Notionは、保存してあった依頼と応答をFireworksに送り、分類の処理をさせていました。つまり、Notionが機能のために自社で保存していたデータを分析に回す先でも、Fireworks側には残さないという契約でした。その境界で、実際にはデータが残っていたことになります。
Fireworksの側で起きたことも整理しておきます。11月9日の更新告知によると、10月23日に、Fireworksの研究開発用マシンを置いていた第三者のクラウド事業者で事案が起きました。攻撃者はそこを足がかりに翌24日に開発機へ入り、許可のない処理を走らせ、Fireworksは同日にこれを検知しています。影響は、アカウントと請求の情報（住所、請求・支払いの履歴、残高、クレジットの利用状況）に加え、一部の顧客では秘密情報、データセット、作りかけのモデルの重みにまで及びました。カード番号はもともと保存しておらず、対象外です。推論（Inference）、Training SDK、Nexusは既定でZDRで、影響は見つかっていないとしています。Notionのデータがどのサービスを通じて残っていたのかは、両社とも明らかにしていません。
Notionの時系列はこうです。11月2日夜、Fireworksから攻撃者が少量のデータにアクセスしたとの連絡を受け、翌3日朝に接続を切りました。Fireworks上のデータは、ヘルプセンターの説明では4日に削除が確認されています。この時点のデータはNotion AIの合成テストデータで、顧客のデータは含まれていませんでした。ところが11月6日、顧客のデータにもアクセスされた可能性があると連絡があり、8日に新たなデータが確認されました。それがInsights用のチャット記録です。最初の連絡から約1週間で、別のデータセットとして顧客のデータへの影響が判明したことになります。
対象になったチャット記録には、利用者がNotion AIに打ち込んだ文章と、AIの出力の全文が含まれます。Notionは、入力に氏名やメールアドレス、APIトークンが含まれうること、出力には参照したページの断片が含まれうることを明示しています。記録の多くは利用者やワークスペースにひも付かないものの、中身そのものに秘密が書かれていれば、ひも付きの有無にかかわらず意味を持ちます。一方で、ツール呼び出しの結果は原則として含まれず、AIミーティングノートの音声・書き起こし・要約も、チャットに打ち込んだり出力で参照されたりした場合を除いて対象外です。
攻撃者の狙いについて、Fireworksは、金銭目的のサイバー犯罪グループとのつながりを示す証拠があり、LLMへの不正アクセスで得たトークンを違法な中継ゲートウェイに売ることが目的だと説明しています。GoogleのGTIGとMandiantが11月初めに公開した調査は、この手口を「LLMJacking」と呼び、盗んだ利用権を束ねて転売する「LLM Mixer」と、侵入役と換金役の分業を描いています。同じ調査は、調査した個々の事案で、1日で10万ドルを超える不正な請求や、取り消しまでに累計100万ドルに達した例を挙げています。調査はこれらの数値をFireworksの損害とはしておらず、Fireworks自身も損害額を公表していません。狙いがAIの利用権だったとしても、攻撃者が通った場所に置かれていたデータは無事では済みませんでした。
ここから読み取れるのは、SaaSのAI機能の裏側に、利用者からは見えない事業者が並んでいるという構造です。多くのSaaSは、AI機能のために複数のモデル事業者や推論基盤を組み合わせています。利用者が契約しているのはNotionだけでも、データはNotionの判断でFireworksへ渡っていました。そのFireworksは、研究開発用マシンを置いていた別のクラウド事業者での事案を足がかりに侵入されています。侵害の入口は、利用者からは名前も見えない場所にありました。
Notionの利用者が今できることは、Notionの案内にそろっています。まず、Notionかワークスペースのオーナーから連絡が来ていなければ、現時点では対象と特定されていません。対象の場合は、サイドバーの「?」から「Security incident review」を開くと、該当するデータをダウンロードできます。Enterprise・Businessプランで認証済みドメインを持つオーナーは、認証情報や個人情報に自動で印を付けたCSVを受け取れます。ただしNotionはこの印を点検の出発点と位置づけており、網羅を保証するものではありません。Notionは、事案の期間にNotion AIへパスワードやAPIキーを貼った場合は再発行するよう案内しています。対象と特定されていなくても、貼った覚えのある鍵は古いものを失効させてから作り直し、不審な利用がないかを確かめておくと安心です。あわせて、事案に便乗した標的型のフィッシングにも注意が呼びかけられています。
Notion以外のSaaSを使っている人にも、確かめられることがあります。使っているサービスのAI機能が、どの外部事業者にデータを渡しているか。その事業者とのあいだでZDRがどこまで約束されているか。そして、チャット履歴や利用状況の分析のように、そもそも「保存」を前提にした機能がどれか。AIのチャット欄は、秘密を置く場所ではありません。鍵やパスワードはシークレット管理の仕組みに置き、チャットや文書に書かないというNotionの助言は、どのサービスにもそのまま当てはまります。
Notionは、委託先の事案について、契約上のZDRがあってもデータが残っていたことまで含めて公開し、利用者が自分のデータを点検できる道具を用意しました。外から見えない委託の連鎖を、利用者の手元まで引き戻した対応だといえます。AIの「保存しない」約束を、契約書の文言から、外から確かめられる仕組みへと移していけるか。今回の件は、AIを組み込んだSaaSが次に越えるべき段差を示しています。
【関連記事】
【解説】AI開発基盤9社が10月に侵害を公表、狙われたのはAIの鍵 NorthflankとChainalysisも
10月に侵害を公表したAI開発基盤9社を整理した解説。Fireworks AIの1回目の侵害を含め、狙われたのがAIの鍵だったことを示す。
NEAR AI、SGLangの脆弱性を突かれ侵害を公表 約100人の情報とエージェント18件のデータ
NEAR AIがSGLangの脆弱性を突かれた侵害の記事。Fireworks AIの2回目の侵入経路にも触れ、推論ソフトの守りを論じる。
Claude Code、承認ルールにパスワードが残る ApiiroとGitGuardianが公開GitHubで確認
Claude Codeの承認ルールにパスワードが残り、公開GitHubで見つかった件。開発ツールの設定に秘密情報を書かない重要性を伝える。
【編集部後記】
AIの使い方を管理者に見せるInsightsは、組織がAIを安心して使うための機能です。誰がどんな用途でAIに頼っているかが分からなければ、ルールの作りようがないからです。
その分析のために集めた記録が、今回は委託先で攻撃者の手の届くところにありました。利用状況を見える化しようとするほど、見える化のための記録は一か所にたまっていきます。
あなたの組織がAIの利用ログを集めているなら、そのログはいま、どこの事業者のどのサーバで処理されているでしょうか。
【用語解説】
ゼロデータ保持（ZDR）
AIに送った依頼と応答を、モデルを動かす事業者の側に保存しないという約束。NotionがEnterpriseの顧客に約束するZDRは、Notion AIの応答を作るために外部のモデル事業者へ送るリクエストが対象で、チャット履歴やInsightsのようにNotion自身の保存が前提の機能は対象外としている。
Insights
Notionの管理者向け機能。ワークスペースのメンバーがAIをどう使っているかを管理者に示す。Notionは保存したNotion AIの依頼と応答をFireworksに送り、分類の処理をさせていた。現在は調査のため停止している。
エンドポイント
APIの呼び出しを受け付ける窓口となるURLやサービス。同じ事業者でも、エンドポイントごとにデータの扱いが異なることがある。
LLMJacking
他者のLLM（大規模言語モデル）の利用権を乗っ取り、自分の処理に使ったり転売したりする手口。費用は正規の契約者に請求される。Google Threat Intelligence GroupとMandiantが2026年11月に調査を公開した。
LLM Mixer
盗んだLLMの利用権を束ね、地下の利用者に転売する違法な中継ゲートウェイ。侵入して利用権を得る役と、それを換金する役が分かれている。
モデルの重み
AIモデルが学習で身につけた数値のパラメータ。モデルの中身そのものにあたる。
シークレット管理
パスワードやAPIキーなどの秘密情報を、専用の仕組みで保管し、使う権限や期限を管理すること。
【参考リンク】
Notion（外部）
ドキュメント作成とメモ、プロジェクト管理を一つにまとめたワークスペース。Notion AIによる文章作成や検索、チャット機能も備える。
Fireworks AI（外部）
オープンなAIモデルの推論や学習を提供するAI基盤の事業者。開発者や企業が、API経由でさまざまなモデルを動かすために使っている。
Fireworks AI incident (11-09)（外部）
Notionが11月9日に公開したセキュリティアドバイザリ。Fireworksからの通知の時系列と、影響を受けたデータの範囲をまとめている。
Update on October 2026 security incident（外部）
Fireworks AIによる10月の侵害の更新告知。10月23日のクラウド事業者経由の侵入と、請求情報や一部顧客データへの影響を説明する。
October 2026 security incident（外部）
Fireworks AIが10月9日に出した最初の告知。10月6日に検知した認証情報の不正使用と、評価ジョブの環境変数への影響を説明する。
【参考記事】
The Rise of LLMJacking: How Threat Actors Monetize Compromised Cloud and Model Resources（Google Cloud Blog）（外部）
GoogleのGTIGとMandiantによるLLMJackingの調査。盗んだ利用権を転売するLLM Mixerと被害額の例を示す。
Cyberattack on Fireworks AI allowed hackers to access Notion customers' chat transcripts（TechCrunch）（外部）
TechCrunchの報道。Fireworksの侵害がNotionのAIチャット記録に及んだ経緯と、攻撃者の金銭目的を両社の発表から伝える。
Fireworks AI Was Hacked: How Criminals Profit From Stolen AI（The Neuron）（外部）
The Neuronの解説。Fireworksの2度の侵害の時系列と、盗んだAIの利用権で稼ぐLLMJackingの仕組み、対策をまとめる。
