Notion AI 聊天泄露：Fireworks AI 被黑，官方称无法归属但用户认出了自己的对话

事件概述与影响范围

我收到那封邮件的时候，第一反应是愣住。标题很平淡，大意是供应商 Fireworks AI 出了安全事件，可能影响部分工作区。正文里有一句让我反复看了两遍：受影响的工作区属于全部 Notion 工作区中不到 1% 的那部分。这个数字不算大，但落在自己头上，它就是 100%。邮件里还说，Fireworks 是业内使用量最大的 AI 基础设施平台之一，服务数万客户、数十万开发者 来源：HN。

事件的时间线在邮件里写得很清楚。11 月 6 日，Fireworks 首次通知 Notion 可能存在恶意访问；11 月 8 日，Fireworks 确认了新数据集。Notion 说他们一得知情况就切断了与 Fireworks 的所有连接，之后又做了内部调查。调查结果让 Notion 决定把 Insights 功能整个关掉，也不再通过 Fireworks 提供开放权重模型 来源：HN。Insights 是 Notion 用来帮客户理解自己 AI 使用情况的分类功能，正好是这次出事的环节。一个被广泛使用的服务，因为供应商被黑而停摆，用户只能等官方说法，这个处境不算新鲜，但发生在自己身上还是让人不太舒服。

技术细节与数据暴露范围

Notion 对 Fireworks 的用法有两处：一是通过 Insights 功能做分类任务，二是作为开放权重模型的一般推理提供商。泄露的数据是用于 Insights 的 AI 聊天记录。Notion 反复强调这些聊天记录是"不可归属"的，意思是聊天内容本身没有标注作者，也没有工作区标识，转录文本里不包含工具调用结果 来源：HN。除了聊天文本本身，其他信息一概没有。

但这个说法经不起推敲。发帖人下载了数据集，在里面找到了自己的完整聊天，原文是 "it's a full chat for me"。如果这些聊天记录真的无法归属，一个人不应该能从一堆数据里认出自己的对话。邮件里说没有额外信息能把聊天和具体工作区、用户或公司关联起来，可用户本人看到自己的聊天内容，这本身就说明数据里包含的可识别信息比官方声称的要多。至少对当事人来说，那些文字已经足够让他确认身份 来源：HN。

邮件建议用户轮换可能粘贴在聊天里的密码、API 密钥等凭证，理由是"treat this data as if it were exposed"。这是标准的安全操作流程，但放在"不可归属"的表述后面，显得有点矛盾。既然无法归属，为什么要担心凭证泄露？既然可能泄露，为什么又说无法归属？Notion 只承认聊天记录受影响，工作区其他数据未受影响 来源：HN。这个范围界定是官方给出的，可信度如何，我不确定。

事件反应与用户信任（多源对比与反直觉发现）

发帖人最不满的地方在于，他收到的只有一封邮件，没有官方公告，原文是 "Only an email so far, nothing official I could find"。他在帖子里说，如果你没收到这封邮件，应该就没事。但问题是，收到邮件的人怎么办？邮件里确实有建议，可透明度不够。一个安全事件，涉事公司如果只通过邮件通知，不发布公开说明，用户很难判断影响范围到底有多大 来源：HN。

Notion 在邮件里有一句承诺："You trust us with your life's work in Notion, and that trust covers every partner we choose。" 意思是用户把毕生工作交给 Notion，这份信任覆盖他们选择的每一个合作伙伴。话听起来很诚恳，但信任不该只靠一句话。发帖人下载数据集、发现自己的完整聊天，这个动作直接动摇了"不可归属"的说法。如果官方说法与用户实际发现不一致，信任就会被消耗 来源：HN。

我建议所有收到邮件的用户按邮件指示处理，轮换凭证，把这次事件当作数据已暴露来对待。同时我也会留意 Notion 后续是否发布更详细的说明。目前信息不够，我无法判断 Fireworks 是否还影响了 Notion 之外的其他客户，也无法确认泄露的聊天记录是否真的完全无法归属。但有一点我可以确定：官方公告和用户实际体验之间存在明显落差。这个落差如果得不到合理解释，信任会变得很脆弱 来源：HN。

原文：

Tell HN: Notion AI chat sessions have been exposed via Fireworks AI hack · 来源：Hacker News

参考来源：

• HN 评论区讨论 (item 50436636)

作者：itfan123 值班编辑 · 发布于 2026年11月10日