Notion AI : des conversations exposées par le piratage d’un sous-traitant, ce qu’il faut faire

Quand on pose une question à l’assistant d’un logiciel, on pense rarement au chemin que prend la conversation. L’incident révélé par Notion en novembre 2026 le rappelle brutalement : des échanges avec Notion AI, l’assistant intégré à ce célèbre outil de prise de notes et de gestion de projets, ont été exposés à la suite du piratage de Fireworks AI, une entreprise qui faisait tourner certains modèles d’IA pour le compte de Notion. Les systèmes de Notion n’ont pas été piratés, mais ceux d’un de ses fournisseurs l’ont été.

Que s’est-il passé ?

Fireworks AI est une plateforme d’infrastructure qui héberge et exécute des modèles d’IA pour d’autres entreprises. Selon Notion, elle servait à deux usages : des tâches de classification pour la fonction Insights, qui aide les clients à comprendre leur propre usage de l’IA, et l’exécution de modèles à poids ouverts proposés dans le produit.

La chronologie publiée par Notion et Fireworks permet de reconstituer les faits :

Quelles données sont concernées ?

Notion indique que l’incident touche moins de 1 % des espaces de travail de ses clients et se limite aux conversations utilisées par la fonction Insights. Aucune autre fonction n’est concernée, selon l’entreprise.

Pour la grande majorité des espaces touchés, ces conversations étaient « non attribuables » : elles ne portaient ni le nom de leur auteur ni celui de l’espace de travail, et ne contenaient pas les résultats des outils appelés par l’assistant. Notion précise qu’au-delà du contenu des échanges eux-mêmes, rien ne permet de les relier à un utilisateur ou à une entreprise.

Du côté de Fireworks, l’enquête menée avec l’unité de réponse aux incidents de Palo Alto Networks, Unit 42, a mis au jour un périmètre plus large que prévu : informations de compte et de facturation pour des clients de la plateforme et, pour un nombre limité de comptes, des secrets, des jeux de données et des poids de modèles incomplets. Fireworks précise que les numéros de cartes bancaires ne sont pas stockés et n’ont pas été touchés.

Qui est derrière l’attaque ?

Selon Fireworks, les éléments recueillis pointent vers un groupe cybercriminel motivé par l’argent, spécialisé dans le « LLMjacking ». La pratique consiste à détourner l’accès à des modèles de langage, en volant des identifiants ou des clés d’API, pour le revendre à des services clandestins qui redistribuent cette puissance de calcul. La victime paie la facture, le pirate encaisse. Fireworks renvoie vers une analyse publiée le 2 novembre par le Google Threat Intelligence Group et Mandiant sur l’essor de ce phénomène.

Comment Notion et Fireworks ont réagi

Notion a pris plusieurs mesures :

• déconnexion de Fireworks dès le matin du 3 novembre, avec suppression des données hébergées chez ce prestataire ;
• désactivation de la fonction Insights le temps de l’enquête ;
• arrêt de l’utilisation de Fireworks pour faire tourner les modèles à poids ouverts ;
• contact direct des clients concernés, qui peuvent consulter de façon sécurisée les données touchées dans leur espace de travail, selon les instructions reçues par e-mail.

Notion précise que les clients qui n’ont pas été contactés ne sont pas identifiés comme touchés à ce stade, l’enquête se poursuivant. Fireworks, de son côté, a renouvelé ses identifiants, réduit les privilèges, isolé les systèmes touchés et suspendu temporairement les envois et téléchargements de jeux de données en libre-service.

Ce qu’il faut faire si vous utilisez Notion AI

Si vous avez reçu un message de Notion, la consigne est claire : considérer les données concernées comme exposées.

• Changer immédiatement tout mot de passe, clé d’API ou identifiant que vous auriez collé dans Notion AI pendant la période de l’incident, comme le recommande Notion.
• Consulter les conversations touchées dans votre espace de travail pour repérer d’éventuelles informations sensibles (données clients, éléments financiers, informations personnelles).
• Prévenir les personnes concernées si des données de tiers figuraient dans ces échanges, et vérifier avec votre service juridique si une notification est nécessaire au titre du RGPD.
• Rester vigilant face au hameçonnage : un incident médiatisé est souvent suivi de faux e-mails se faisant passer pour l’entreprise concernée.

Les questions à poser à un éditeur de logiciel doté d’IA

Pour un responsable informatique ou un dirigeant de PME, l’incident est l’occasion de faire le point sur les outils utilisés en interne. Quelques questions simples à poser à chaque éditeur :

• Quels prestataires traitent nos conversations avec l’IA ? Hébergement des modèles, analyse, stockage : chaque maillon doit être identifié.
• Combien de temps les échanges sont-ils conservés, et sont-ils utilisés pour des fonctions annexes comme des statistiques d’usage ?
• Peut-on désactiver ces fonctions annexes ou exclure certains espaces de travail de l’IA ?
• Comment serons-nous prévenus en cas d’incident, et dans quel délai ?

Dans le cas de Notion, la fonction Insights, conçue pour aider les clients à comprendre leur usage de l’IA, s’est révélée être le point d’exposition. Une fonction secondaire peut donc élargir la surface de risque d’un service.

Le maillon faible des sous-traitants de l’IA

Cet incident illustre un risque souvent sous-estimé : derrière un assistant d’IA intégré à un logiciel, il y a fréquemment plusieurs prestataires chargés d’héberger les modèles, de les faire tourner ou d’analyser les échanges. Chacun est une porte d’entrée possible. Les entreprises qui choisissent un outil doté d’IA ont donc intérêt à consulter la liste de ses sous-traitants, que le RGPD impose de tenir et de communiquer aux clients professionnels, et à vérifier leurs engagements de sécurité et de conservation des données.

La fréquence des incidents touchant les outils d’IA, à l’image de la fuite de secrets provoquée par le fichier d’autorisations de Claude Code révélée début novembre, montre que la sécurité de ces services reste en construction. Notion promet de « relever le niveau d’exigence » dans la protection des données de ses clients. Les conclusions définitives de l’enquête de Fireworks, toujours sous surveillance active, diront si d’autres clients de la plateforme ont été touchés.