Notionin tekoälychatit päätyivät hakkereille alihankkijan kautta

Moni Notionin käyttäjä on liittänyt tekoälychattiin palan asiakassopimusta, kollegan sähköpostiosoitteen tai kiireessä API-avaimen. Osa näistä keskusteluista on nyt hakkereiden käsissä. Hyökkäys ei kohdistunut Notioniin itseensä vaan Fireworks AI -nimiseen yhtiöön, jonka kautta osa Notionin tekoälyominaisuuksista toimi.

Notionin mukaan vuoto koskee alle yhtä prosenttia sen työtiloista. Määrä kuulostaa pieneltä, mutta Notionilla on käyttäjiä ympäri maailmaa, myös monissa suomalaisissa yrityksissä ja julkisissa organisaatioissa.

Mikä on Fireworks AI?

Fireworks AI on niin sanottu päättelyalusta. Se pyörittää tekoälymalleja omilla palvelimillaan, ja muut yritykset käyttävät niitä rajapinnan kautta. Kun ohjelmisto haluaa tekoälyn luokittelevan tekstiä tai vastaavan kysymykseen, se voi lähettää pyynnön Fireworksin kaltaiselle palvelulle eikä tarvitse omaa laskentakapasiteettia.

TechCrunchin mukaan Fireworksilla on kymmeniä tuhansia asiakkaita, muun muassa juristien tekoälytyökalu Harvey ja koodieditori Cursor. Notion käytti Fireworksia Insights-ominaisuuden luokitteluun ja joidenkin avoimien mallien ajamiseen. Lisäksi Notion kokeili Fireworksilla tehtäväkohtaisten mallien kouluttamista datalla, jota käyttäjät olivat vapaaehtoisesti luovuttaneet LEAP-ohjelman kautta.

Näin hyökkäys eteni

Fireworksin oman tiedotteen mukaan lokakuun 23. päivänä tietoturvaongelma iski kolmannen osapuolen pilvipalveluun, jossa yhtiön tutkimus- ja kehityskoneet sijaitsivat. Seuraavana päivänä hyökkääjä pääsi sen kautta Fireworksin kehityskoneille ja ajoi siellä luvatonta kuormaa. Fireworks havaitsi tunkeutumisen samana päivänä.

Ketju oli siis pitkä. Notionin asiakkaan data kulki Notionilta Fireworksille, ja Fireworksin koneet olivat vielä yhden pilvipalvelun varassa. Murto tapahtui ketjun uloimmassa lenkissä.

Fireworks yhdistää hyökkäyksen taloudellisesti motivoituneeseen ryhmään, joka myy luvattomasti hankittua pääsyä suuriin kielimalleihin. Ilmiöstä käytetään nimeä LLMJacking: joku muu käyttää malleja, ja lasku menee uhrille. Fireworksin osalta kyseessä on jo toinen tietoturvatapaus kahden kuukauden sisällä, sillä yhtiö tiedotti edellisestä lokakuun alussa.

Mitä vuoti?

Notionin mukaan vuodossa paljastui Notion AI -keskustelujen koko teksti, siis sekä käyttäjän kirjoittamat viestit että tekoälyn vastaukset. Viesteissä voi Notionin omien sanojen mukaan olla nimiä, sähköpostiosoitteita, API-tunnuksia tai muuta arkaluonteista tietoa. Tekoälyn vastauksissa voi olla katkelmia sivuista ja tietokannoista, joihin se viittasi.

Vuotaneena voi olla myös teksti, jonka käyttäjä oli valinnut sivulta, mutta muu sivun sisältö ei vuotanut. Notionin mukaan vuoto ei koskenut chattien liitteitä, AI Meeting Notes -muistiinpanoja eikä hakutuloksia, joita vastauksessa ei siteerattu. Suurimmasta osasta vuotaneita keskusteluja puuttui tieto, joka yhdistäisi ne tiettyyn käyttäjään, työtilaan tai yritykseen.

Fireworksin muilta asiakkailta vietiin yhtiön mukaan laskutustietoja, kuten laskutusosoitteita ja maksuhistoriaa, sekä joidenkin asiakkaiden datajoukkoja ja keskeneräisiä mallien painoja. Maksukorttien numeroita Fireworks ei säilytä, joten niitä ei vuotanut.

Tämä on tapauksen vakavin yksityiskohta. Paperilla Fireworksin piti vain käsitellä pyynnöt ja unohtaa ne heti. Säilytetyt tiedot päätyivät kuitenkin hyökkääjille. Kumpikaan yhtiö ei ole nimennyt julkisuudessa ketään edustajaansa kommentoimaan tapausta. Tiedot perustuvat yhtiöiden verkkosivuillaan julkaisemiin tiedotteisiin.

Mitä Notion on tehnyt

Notion katkaisi yhteytensä Fireworksiin 3. marraskuuta ja lopetti datan lähettämisen sille. Seuraavana päivänä data poistettiin Fireworksin järjestelmistä. Insights-ominaisuus on pois käytöstä tutkinnan ajan, eikä Notion enää aja avoimia malleja Fireworksin kautta.

Yhtiö kertoo ottaneensa yhteyttä asiakkaisiin, joiden työtilat se on tunnistanut vuotoon kuuluviksi. Jos sinä tai työtilasi omistaja ette ole kuulleet Notionista, se ei ole tunnistanut työtilaanne osalliseksi, eikä teidän tarvitse Notionin mukaan tehdä nyt mitään. Lisäksi Notion lupaa käydä läpi tärkeimmät toimittajansa, kuten päättelypalvelut ja datan käsittelijät.

Vuotoon kuuluvien työtilojen käyttäjät voivat ladata vuotaneet tiedot sivupalkista kohdasta ? → Security incident review. Notion neuvoo käymään ensin läpi tunnukset, kuten API-avaimet ja salasanat, ja vaihtamaan ne heti. Sen jälkeen kannattaa tarkistaa henkilötiedot ja varautua tietojenkalasteluun, jossa käytetään keskusteluista poimittuja nimiä ja yksityiskohtia.

Tekoälypalvelulla on omat alihankkijansa

Kun yritys ottaa käyttöön Notionin, se tekee sopimuksen Notionin kanssa. Harva kuitenkaan tietää, että tekoälyominaisuuden takana voi olla toinen yhtiö, ja tämän takana vielä kolmas. Jokainen tekoälyominaisuus voi tuoda mukanaan uusia alihankkijoita, joiden kautta dataa kulkee.

Tapaus vaikuttaa myös siihen, miten työpaikalla kannattaa käyttää tekoälychattia. Chat tuntuu yksityiseltä muistiolta, mutta viesti voi kulkea usean yhtiön palvelimien kautta. Notionin oma neuvo on yksinkertainen: salaisuudet kuuluvat salasanojen hallintaan, eivät keskusteluihin tai dokumentteihin.

Hankintoja tekeville tapauksesta jää kiusallinen opetus. Sopimuksessa ollut lupaus siitä, ettei dataa säilytetä, ei suojannut Notionin asiakkaita, koska kukaan ei ollut tarkistanut sen toteutumista. Ensi kerralla moni yritys todennäköisesti pyytää tekoälytoimittajaltaan auditointiraportin eikä pelkkää lupausta.