FireworksAI遭LLMjacking攻击，Notion约1%客户AI聊天记录泄露

AI基础设施供应链安全再次敲响警钟。2026年10月下旬，AI推理与模型开发平台Fireworks AI遭遇分阶段网络入侵，最终导致包括Notion在内的多家客户数据暴露。此次事件被Fireworks官方定性为典型的“LLMjacking”攻击——一种以窃取大语言模型（LLM）访问令牌并转售牟利的新型网络犯罪模式。

据Fireworks于11月9日发布的更新公告，攻击始于10月6日：攻击者首先窃取内部凭证，访问少量客户评估任务所用密钥；10月9日平台发布首份安全通告，当时仅确认内部密钥风险，尚未发现客户数据泄露。真正的转折点出现在10月23日至24日：托管Fireworks研发服务器的第三方云服务商发生安全事件，攻击者借此跳板侵入其开发环境，运行未授权工作负载，造成更大范围数据泄露。Fireworks在24日当天检测到异常并完成应急处置，自10月25日起未再观测到对面向客户业务系统的成功入侵。

泄露的数据类型包括资源元数据（如资源ID、名称、创建时间）、账户账单信息（收货地址、发票记录、算力额度使用情况），以及少数客户的密钥、数据集片段和未完成的模型权重。Fireworks强调，其核心推理服务、Training SDK与Nexus组件默认启用“零数据留存”（ZDR）机制，目前无证据表明实时推理流量、提示词或输出内容被截获。

作为关键受影响客户之一，协作工具Notion于11月3日断开与Fireworks的全部系统连接，并删除存储在其平台上的所有数据。11月11日，Notion正式披露事件细节：黑客获取了部分Notion AI用户的聊天记录，主要来自“Insights”功能——该功能用于向用户展示AI在其工作区中的使用行为。根据说明，这些 transcripts 包含“任何写入聊天界面的用户输入或模型输出”，即完整对话流；但绝大多数记录未标注作者或所属工作区，亦不包含工具调用结果，因此难以追溯至具体用户。

Notion表示，此次泄露影响范围约为其全部工作区的1%，即不足1%的客户。公司已于11月9日开始定向通知受影响用户，并在11月11日撤销了在泄露消息中发现的Notion API密钥。为降低风险，Notion已暂停Insights功能，并终止通过Fireworks提供开放权重模型的服务。

值得注意的是，Fireworks将此次攻击归因于一个财务动机明确的犯罪团伙，其目标并非传统意义上的数据勒索或破坏，而是批量窃取LLM访问令牌，在地下黑市网关中倒卖给第三方。这些买家可绕过正常计费机制，无限调用高成本模型资源，而费用最终由被劫持的企业承担。Google威胁情报与Mandiant在11月2日的报告中指出，此类攻击正快速蔓延，部分受害企业单日产生超10万美元的异常算力账单。

这一事件凸显了AI服务生态中的深层依赖风险。Fireworks本身是为开发者提供开源模型接入与推理能力的中间层平台，而Notion等终端应用又将其作为后端AI能力支撑。当供应链中任一环节——尤其是第三方云基础设施——出现防护缺口，攻击便可能沿信任链向下传导，波及多层下游客户。正如DoNews报道所引述，该事件属于“AI基础设施供应链风险”的典型样本：安全边界不再局限于自有系统，托管环境的脆弱性同样构成致命威胁。

Fireworks在事件响应中采取了多项加固措施：批量吊销与替换受影响凭证、收紧网络访问路径、隔离受感染系统、强化存储系统权限管控，并升级审计日志体系。业务层面，平台临时关闭自助数据集上传下载功能，将Training SDK任务迁移至增强防护的隔离环境运行，并实行7×24小时监控。

行业观察指出，LLMjacking的兴起与大模型服务商业化加速直接相关。随着API调用成本攀升（如GPT-4 Turbo每百万tokens约10美元），非法访问的经济价值显著提高。攻击者无需破解模型本身，只需绕过身份认证与配额限制，即可低成本获取高价值算力。帕洛阿尔托网络Unit 42团队参与调查后确认，此类攻击通常采用“凭证盗取→横向移动→令牌提取→转售变现”的标准化流程，技术门槛低于传统APT，但规模化潜力巨大。

对于企业用户而言，此次事件提供了三点现实警示：第一，需审慎评估AI服务供应商的安全架构，尤其关注其是否依赖第三方云托管及相应责任划分；第二，应避免在AI交互中输入敏感凭据、密码或内部数据，即便平台宣称“零留存”，开发环境仍可能存在意外缓存；第三，定期轮换API密钥与集成凭证，建立最小权限原则下的服务连接策略。

目前，Fireworks仍在推进全面调查，不排除后续发现更多影响范围的可能性。Notion则建议受影响工作区所有者将数据视为已暴露处理，及时更换在事件窗口期内曾粘贴至Notion AI的密码、密钥等敏感信息。未收到通知的用户暂无需额外操作。

AI能力的普及正以前所未有的速度重构软件产品逻辑，但支撑这一变革的底层基础设施安全水位，尚未同步提升。当一家初创AI平台的开发机被攻陷，竟能牵连数百万用户的工作流数据，这不仅是技术事故，更是对整个行业协作模式的拷问。