我先分头核对两起事件的时间、影响范围与官方回应，尤其是 Notion 那 1% 的统计口径和 Fireworks AI 的泄露内容。
Notion 的系统本身没有被攻破。这次事件的源头是它的 AI 供应商 Fireworks AI：攻击者先窃取 Fireworks 内部凭证，再从 Fireworks 的第三方云托管环境跳进研发机器，最终拿到部分客户的账单信息、数据集、未完成模型权重，以及 Notion 发给 Fireworks 做分类的 Insights 聊天记录。Notion 官方给出的范围是 “不到 1% 的 workspace”，且只涉及 Insights 功能，多数记录无法归属到具体用户或工作区，也不含工具调用结果。把 “1% 工作区” 直接说成 “1% 用户” 并不准确：一个工作区可能有几十个成员，实际人数不能按 1% 直接换算。
先把 “1%” 的口径拆开
| 说法 | 官方口径 | 容易误读的地方 |
|---|---|---|
| 受影响范围 | 不到 1% 的 Notion workspace | 不是 1% 的用户；workspace 与人数不能直接换算 |
| 受影响功能 | 仅 Notion AI 的 Insights | 不是全部 Notion AI 聊天，也不是页面、数据库、会议记录 |
| 泄露内容 | Insights 用的聊天转录，含用户输入与模型输出 | 不含工具调用结果 |
| 可归属信息 | 绝大多数 “unattributable” | 没有标注谁写的、来自哪个 workspace |
| 其他功能 | 未受影响 | Notion 明确说没有其他功能受影响 |
这四条合起来，影响是 “有限但敏感”，不是 “全量聊天记录裸奔”。不过 “unattributable” 不等于 “不敏感”：转录里仍然可能有用户粘贴的密码、API Key、客户名、合同条款。Notion 自己在调查中就从受影响消息里发现了 Notion API Key，并在 11 月 11 日统一吊销。
攻击链：两波入侵，四个转折点
| 时间（2026） | 发生了什么 |
|---|---|
| 10 月 6 日 9:00 PDT | Fireworks 发现内部凭证被未授权使用，评估任务的环境变量被访问 |
| 10 月 7 日 | 开始通知受影响客户 |
| 10 月 9 日 | 轮换员工 API Key，发布首版安全公告 |
| 10 月 10 日 | 追加吊销用户 API Key，轮换服务账号令牌 |
| 10 月 23 日 | 托管 Fireworks 研发机器的第三方云服务商发生安全事件 |
| 10 月 24 日 | 攻击者借道进入 Fireworks 开发机器，运行未授权任务，造成更大范围数据影响 |
| 10 月 24 日 | Fireworks 当天检测并处置 |
| 10 月 25 日 | 未再发现攻击者成功入侵面向客户的业务系统 |
| 11 月 2 日 | Fireworks 通知 Notion：一小批数据被访问，初判是合成测试数据 |
| 11 月 3 日 | Notion 断开与 Fireworks 的连接、删除存放在 Fireworks 的数据、停止全部通信、暂停训练任务 |
| 11 月 6 日 | Fireworks 告知 Notion：客户数据可能也被访问 |
| 11 月 8 日 | Fireworks 确认最终数据集，包含真实 Insights 转录 |
| 11 月 9 日 | Notion 开始通知受影响客户，发布安全公告 |
| 11 月 11 日 | Notion 吊销在受影响消息中发现的自家 API Key |
第一波是 “凭证层” 失守：评估任务把 API Key、Token 当环境变量用，内部凭证一丢，这些密钥就跟着暴露。第二波是 “基础设施层” 失守：第三方云上的研发机器被攻破，攻击者把它当跳板，进入开发环境，拿到比第一波更广的数据。Fireworks 在 11 月 9 日的更新里明确说，两波之间是否存在关联，调查仍在继续；但作案手法指向同一类牟利团伙。
Fireworks 到底丢了什么，没丢什么
| 数据类别 | 是否受影响 | 说明 |
|---|---|---|
| 资源元数据 | 是 | 资源 ID、显示名、描述、创建时间 |
| 账单信息 | 是 | 账单与收货地址、发票与付款记录、账户余额、额度使用 |
| 支付卡号 | 否 | Fireworks 不保存卡号 |
| 密钥 | 少量账户 | 环境变量里的 API Key、Token |
| 数据集 | 少量账户 | 部分数据集片段 |
| 未完成模型权重 | 少量账户 | 不是完整模型 |
| 推理流量、提示词、输出 | 未发现证据 | 推理默认 ZDR |
| Training SDK、Nexus | 未发现影响 | 默认 ZDR |
这张表里最值得注意的不是 “丢了什么”，而是 “为什么没丢”：Fireworks 的推理服务默认零数据留存，所以正常的推理请求不会落盘。但 Notion 的 Insights 转录不是推理流量，而是 Notion 主动发给 Fireworks 做分类的 “数据”。它走的是批处理 / 分类端点，不是 ZDR 覆盖的推理路径。这也是为什么 Fireworks 说 “推理没泄露”，Notion 却确实有聊天记录外泄 —— 两者不矛盾，是两条不同的数据流。
Notion 这 1% 是怎么被卷进来的
Notion 用 Fireworks 做两件事：一是给 Insights 功能跑分类任务，帮管理员看清工作区里 AI 的使用情况；二是作为通用推理供应商，在产品里服务开源权重模型。出问题的是第一件。
为了做分类，Notion 把 Insights 相关的聊天转录发给 Fireworks。Notion 说，Fireworks 对这项分析有合同层面的零留存承诺，但复查发现，供应商在实际调用的端点上保留了数据。Notion 企业版的 ZDR 承诺覆盖的是 “发给外部模型供应商的 API 调用”，而 Insights、聊天历史这类 “存储型功能” 不在覆盖范围内。合同写了 ZDR，不等于每个端点都真的不落盘。
3 个动作的时间差也很关键：
- 11 月 2 日晚，Fireworks 说被访问的是一小批 “合成测试数据”，Notion 初步排查也确认没有客户数据。
- 11 月 3 日早上，Notion 断连、删数据、停通信、停训练，动作很快。
- 11 月 6 日，Fireworks 改口说客户数据可能被访问；11 月 8 日确认真实转录在列。
数据在 11 月 3 日之前已经被取走，后面再删，删的是 “还在供应商系统里的副本”，不是攻击者手里的那份。这也是供应链事件最难受的地方：下游能做的最多是止损，不能撤回。
LLMJacking：偷 key 不是为了自己用，是为了转卖
Fireworks 把这次事件归因于一个财务动机的网络犯罪团伙，目标是把非法获取的大模型访问权限，通过非法路由网关转卖，也就是 LLMJacking。它的商业模式很直接：偷到 Key，验证可用，挂到地下网关，按调用量卖给不想自己付钱的人；账单留在受害者头上。
Google 威胁情报与 Mandiant 在 11 月 2 日的报告里给了量级：部分企业单日因异常调用产生超过 10 万美元账单，有的累计到 100 万美元；两起 Bedrock 案例里，被盗 Key 分别产生约 80 万次和 170 万次模型调用。Cloud Security Alliance 的 “Black October” 报告则统计，2026 年 10 月至少 9 家 AI 开发 / 托管平台披露了同类事件，11 月初又增加了 3 家；入口各不相同，目标高度一致 —— 找环境变量里的 AI Key。Cloud Security Alliance Lab Space
为什么 “删数据” 和 “改密码” 不是一回事
Notion 在 11 月 3 日删除了存放在 Fireworks 的数据，但攻击者拿走的副本不受影响。同样，用户在自己的 Notion 设置里删掉一条聊天记录，也不等于把已经外泄的那份删掉。
真正有效的动作是 “在签发方吊销凭证”：
| 动作 | 有效吗 | 说明 |
|---|---|---|
| 在 Fireworks 后台删除 Key | 部分有效 | 删除的是存储条目，Key 本身可能仍可用 |
| 在 OpenAI/Anthropic 等签发方吊销 | 有效 | 只有签发方能真正让 Key 失效 |
| 轮换服务账号 Token | 有效 | 吊销旧 Token，签发新 Token |
| 删除聊天记录 | 不能撤回已外泄副本 | 只能减少未来暴露面 |
| 改密码 | 视情况 | 如果密码出现在转录里，必须改 |
Fireworks 在公告里也强调了这一点：移除存储的密钥不会让底层凭证失效，第三方凭证必须到签发方那里轮换或吊销。
企业自查：七件事，按优先级排
- 盘供应商。 列出所有 AI 推理、分类、嵌入、数据标注供应商，标出哪些能接触到客户内容。
- 盘 Key。 找出所有长有效期 Key，按项目、环境、权限隔离；能短则短，能只读就只读。
- 查评估任务。 CI、 notebook、eval job 的环境变量里，最容易被塞进生产 Key，优先清理。
- 验证 ZDR。 不要只看合同，抽几个实际端点做测试，确认请求是否落盘、保留多久。
- 数据最小化。 分类任务不要传完整聊天记录；先脱敏、聚合、截断，只传分类必需字段。
- 吊销链路。 建立 “发现泄露后 1 小时内完成吊销” 的 runbook，明确谁有权在签发方操作。
- 用量监控。 设预算硬上限和异常来源告警，LLMJacking 的第一信号通常是账单，不是日志。
个人用户现在该做什么
没有收到 Notion 通知的，官方口径是 “暂不需要动作”。但在事件窗口内往 Notion AI 里粘贴过密码、API Key、数据库连接串、客户资料的，建议直接轮换，不要等确认。
受影响 workspace 的所有者，可以在 Notion 桌面浏览器的 “Security incident review” 页面查看受影响数据、下载成员清单、生成只让本人看到自己转录的分享链接；完整 CSV 导出需要验证域名。移动端打不开这个页面，得用桌面浏览器。
四个结构性提醒
- AI 基础设施是新的单点。 一家推理供应商同时握着几百家客户的 Key 和数据，攻破一次，下游集体中招。
- ZDR 是有范围的。 推理不落盘，不代表你主动上传的数据不落盘；分类、批处理、评估任务往往是另一条路径。
- 研发环境是通往客户数据的桥。 这次第二波就是从研发机器进开发环境，再拿到客户数据；研发网和业务网必须隔离。
- 通知有时差。 11 月 2 日初判合成数据，11 月 8 日才确认真实数据；下游不能只等供应商通知，要自己有检测和吊销能力。
Fireworks 的生意没有停。它 7 月的估值是 175 亿美元，年化营收超过 10 亿美元，原本计划以 300 亿美元以上估值启动新一轮融资；事件发生后，部分每年投入数百万美元的大客户在考虑迁移。安全事件对 AI 基础设施公司的杀伤，不在于一次罚款，而在于客户会不会把 “核心数据 + 长期 Key” 继续放在你这里。
【常见问题】
问题 1：Fireworks AI 网络攻击是怎么影响到 Notion 的？
回答 1：Notion 是 Fireworks AI 的客户，把 Insights 功能的聊天转录发给 Fireworks AI 做分类。Fireworks AI 网络攻击的第二波进入开发环境，拿到这批数据，所以 Notion 的聊天记录跟着外泄；Notion 自己的系统没有被直接攻破。
问题 2：Notion 约 1% 用户聊天记录泄露，到底是 1% 用户还是 1% 工作区？
回答 2：官方口径是不到 1% 的 workspace，不是 1% 的用户。一个 workspace 可能有多个成员，所以 Notion 约 1% 用户聊天记录泄露这个说法不准确；实际受影响人数无法按 1% 直接换算。
问题 3：Notion 聊天记录泄露的内容包含什么，包含工具调用结果吗？
回答 3：包含 Insights 功能相关的聊天转录，也就是用户输入和模型输出；不包含工具调用结果。多数记录无法归属到具体用户或 workspace，但转录里仍可能有粘贴的密码和 API Key，Notion 已因此吊销自家 Key。
问题 4：Fireworks AI 网络攻击后，普通用户需要做什么？
回答 4：没收到通知的暂不需要动作。在事件窗口内往 Notion AI 粘贴过密码、API Key 的，建议立即轮换；受影响 workspace 所有者可在桌面浏览器打开 Security incident review 查看并下载数据。Fireworks AI 网络攻击的教训是：凭证要在签发方吊销，删记录不等于撤回。
【参考资料】
[2026-11-13]（Notion Confirms AI Chat Transcripts Exposed in Fireworks AI Breach）Innopark IT
[2026-11-12]（Cyberattack on Fireworks AI allowed hackers to access Notion customers' chat transcripts）TechCrunch
[2026-11-12]（Notion AI chats exposed in breach at AI provider Fireworks）NotebookCheck
[2026-11-12]（Notion AI chats exposed in Fireworks AI vendor breach）BetaNews
[2026-11-11]（Fireworks AI 更新安全事件通报：遭遇 LLMJacking 攻击，客户信息泄露）DoNews
[2026-11-10]（Fireworks AI discloses new breach after cloud provider hack）BleepingComputer
[2026-11-10]（Fireworks AI Confirms Wider Breach Affecting Customer Datasets, Model Weights and Notion AI Chats）The Hacker News
[2026-11-09]（Update on October 2026 security incident）Fireworks AI
[2026-11-09]（Fireworks AI incident）Notion Security Advisory
[2026-11-04]（Black October: AI Developer Platform Breaches and Industrialized LLMjacking）Cloud Security Alliance
[2026-10-10]（Fireworks October 2026 security incident）Fireworks AI
[2026-10-21]（黄仁勋投的复旦女学霸，又要融资了！估值冲刺 2688 亿）智东西
免责声明： 本文依据 Fireworks AI 与 Notion 官方安全公告、TechCrunch、BleepingComputer、The Hacker News 及 Cloud Security Alliance 报告整理，事件范围、受影响账户数和调查结论可能随双方后续披露更新；Notion 的 “不到 1%” 指 workspace 而非用户，具体人数未公开。文中不构成安全审计或法律建议，受影响用户请以官方通知和自身日志为准。