要点
- AI の推論基盤 Fireworks AI が侵入され、利用企業のデータにも影響が出た。Fireworks によると、攻撃者は金銭目的の犯罪集団とされる。
- Notion は、ワークスペースの1%未満で、本人や会社が特定できない Notion AI のチャット記録が流出した恐れがあるとしている。
- Notion AI に、パスワードや API キーを貼り付けたことがあるなら、すぐに入れ替える必要がある。
何が起きたか
Fireworks AI は、AI モデルを動かす基盤を企業に提供する会社だ。Notion も、この基盤を使っていた。
Fireworks の発表によると、10月6日に、社内の認証情報が不正に使われているのを見つけた。最初に確認したのは、評価用の作業で使う「環境変数」だ。ここには API キーなどの秘密情報が入る。限られた顧客のアカウントで、これらが盗まれたとみられる。
その後、被害は広がった。Fireworks の11月9日の更新によると、10月23日に、開発用マシンを預けていた外部のクラウド事業者で事故があった。10月24日には、第三者がそこから Fireworks の開発用マシンに入り、許可のない処理を動かした。Fireworks は同じ日に検知した。
影響が出たのは、アカウント情報と請求情報だ。住所、請求書や支払いの履歴、残高などが含まれる。一部の顧客では、秘密情報、データセット、作りかけのモデルにも及んだ。カード番号は保存しておらず、影響はないという。推論の処理は、入出力を保存しない設計で、今のところ影響はないとしている。ただし調査は続いている。
Notion の案内によると、同社は11月3日に Fireworks との接続を切り、預けていたデータを消した。11月6日に、Fireworks から顧客データに攻撃者が触れた恐れがあると連絡を受けた。流出した恐れがあるのは、Notion AI の一部のチャット記録だ。作成者もワークスペースも特定できず、ページの中身は含まれないという。Notion は「ワークスペース内の他のデータは影響を受けない」としている。
Notion は Fireworks を、AI 利用状況を分析する Insights 機能と、公開モデルの提供に使っていた。Insights は止めてあり、公開モデルは Fireworks 経由では出していない。
日本の利用者への影響
日本の組織や利用者への影響は、現時点では分からない。Notion の影響の見積もりは、全体の1%未満のワークスペースだ。対象のワークスペース所有者には、Notion が直接連絡している。所有者もあなたも連絡を受けていなければ、Notion は「対応は不要」としている。
今すぐやること
- Notion からの通知が、自分や管理者に届いていないか確認する。迷巣メールの中も見る。
- ワークスペース所有者は、Notion の「Security incident review」で、影響を受けたデータを見る。デスクトップアプリかブラウザーで開く。スマホ版は未対応だ。
- Notion AI に貼った認証情報があれば、発行元のサービスで入れ替える。Notion は、流出したものとして扱うよう勧めている。
- Fireworks を自社で直接使っているなら、届いた通知のとおりに API キーと外部サービスの鍵を入れ替える。Fireworks は、保存した秘密情報を消しても、鍵そのものは無効にならないと注意している。
- 見覚えのない API キー、ユーザー、学習ジョブがないか確かめる。あれば Fireworks に報告する。
背景
今回は、利用企業が直接守れない外部の基盤が狙われた例だ。Fireworks は、攻撃者を、AI の利用権を不正に取って売る「LLMJacking」に関わる集団と結びつけている。Wiz の集計では、10月に少なくとも9つの AI 開発基盤が事故を公表している。どれも同一の攻撃者によるとは、確認されていない。
技術者向けの詳細
- Fireworks 発表の時刻は米国太平洋時間。10月6日 9時に検知、10月9日に社員の API キーを入れ替え、10月10日にさらに鍵とサービスアカウントのトークンを無効にした。
- 初期の被害対象は、評価ジョブの環境変数。API キーとトークンが含まれる。
- 11月9日の更新で、内部アプリのデータとして、リソースのメタデータ、請求情報、一部顧客のデータセットと、不完全なモデル重みの一部が、アクセスされたデータに挙がった。
- 対策として、Fireworks は、Batch Inference とデータセットを使う学習で、自分でのアップロードとダウンロードを止めた。
- Fireworks が勧める作業は、失効した API キーの再発行、通知にある外部の鍵の入れ替え、アクセスログの確認、見覚えのないリソースの確認。秘密情報の名前と鍵の指紋は、安全な経路で受け取れる。
- Notion の Enterprise プランでは、影響データの CSV を取得できる。
- 問い合わせ先は、通知メールへの返信か Fireworks のセキュリティ窓口。窓口のアドレスは、10月の発表と11月の更新で表記が異なるため、各ページで確かめること。
