Notion n'a pas été piraté. Une entreprise qui faisait tourner son IA l'a été, et des conversations de clients sont parties avec
Notion, l'application de prise de notes et d'organisation, a publié le 10 novembre un avis de sécurité au message embarrassant. Ses propres systèmes n'ont jamais été forcés, et pourtant des conversations de clients avec Notion AI se sont retrouvées entre les mains d'un inconnu.
Le point faible était Fireworks AI, une entreprise que Notion payait pour faire tourner certains des modèles d'IA derrière son assistant. Fireworks a été piratée en octobre. Le 2 novembre, elle a prévenu Notion qu'un petit ensemble de données avait été consulté, et cela ressemblait d'abord à des données de test sans importance. Notion a coupé la connexion le lendemain et supprimé ce que Fireworks détenait. Puis, le 8 novembre, Fireworks a confirmé la liste définitive, qui comprenait de vraies transcriptions de conversations conservées pour une fonction appelée Insights, laquelle montre aux propriétaires d'espaces de travail comment leurs équipes utilisent l'IA. Notion évalue les dégâts à moins de 1 % des espaces de travail et précise que la plupart des transcriptions ne portent aucune mention de leur auteur ni de l'espace de travail d'origine.
Les clients concernés ont reçu un e-mail le 9 novembre. "Si vous n'avez pas eu de nouvelles de notre part, nous n'avons pas identifié votre espace de travail comme touché, et aucune action n'est nécessaire pour l'instant", indique l'avis. Pour ceux qui ont reçu l'e-mail, le conseil est direct : considérez les données comme exposées et, si vous avez un jour saisi un mot de passe, une clé API ou tout autre identifiant dans Notion AI, changez-le. Notion a depuis désactivé Insights et cessé d'utiliser Fireworks.
La leçon dépasse largement Notion. Une conversation avec un assistant IA paraît privée, mais les mots voyagent souvent jusqu'à d'autres entreprises, et les mots de passe n'y ont donc pas leur place. Si vous voulez voir où vos comptes et vos connexions pourraient encore être fragiles, la vérification Confidentialité & comptes de Tendvane est un bon point de départ.