Dans cet article Dans cet article
Ce que vous avez tapé dans Notion AI n’est pas resté chez Notion. Dans un avis de sécurité mis à jour le 12 novembre 2026, l’éditeur reconnaît que des transcriptions de conversations avec son assistant ont été dérobées chez Fireworks AI, un prestataire qui les traitait pour une fonction d’analyse. Moins de 1 % des espaces de travail sont touchés, mais les clés et mots de passe collés dans ces échanges ont voyagé avec eux.
Un sous-traitant d’IA est une entreprise qui fait tourner des modèles ou des traitements pour le compte d’un service que vous utilisez, sans que vous ayez jamais signé avec elle. Après le piratage de la console OpenCode en octobre, l’affaire confirme que chaque fonction d’IA ajoute un maillon à la chaîne, et que le plus faible n’est pas toujours celui qu’on connaît. Que contenaient ces conversations, et qu’est-ce qui reste à faire de votre côté ?
Des conversations entières, clés comprises
Selon l’avis de Notion, les données exposées sont les transcriptions de conversations avec Notion AI utilisées par la fonction Insights, qui aide les clients à comprendre leur propre usage de l’IA. D’après la déclaration de Notion reprise par TechCrunch, elles incluent toute saisie ou réponse du modèle écrite dans la discussion, autrement dit tout ce que vous avez demandé et tout ce que l’assistant a produit.
L’éditeur nuance la portée de la fuite. Pour la grande majorité des espaces concernés, ces transcriptions ne mentionnent ni l’auteur ni l’espace de travail, et elles ne contiennent pas les résultats des outils appelés par l’assistant. Aucun document stocké dans Notion n’est cité parmi les données touchées.
Le problème tient à ce que les utilisateurs collent dans un assistant. Des clés d’API Notion et des clés de services tiers figuraient dans certains messages, au point que l’éditeur a dû les révoquer lui-même ou prévenir leurs fournisseurs. Cette réaction s’est étalée sur plusieurs semaines, ce que la chronologie rend visible.
Seize jours entre l’intrusion et le premier e-mail
Les dates publiées par Notion et par Fireworks permettent de reconstituer l’incident. Elles montrent surtout que Notion a d’abord cru à une fuite sans données clients, avant d’apprendre le contraire :
- 23 et 24 octobre 2026 : un fournisseur cloud qui héberge des machines de développement de Fireworks subit un incident, puis un tiers s’en sert pour lancer des traitements non autorisés ;
- 2 novembre 2026 : Fireworks signale à Notion l’accès à un petit jeu de données, présenté comme des données de test synthétiques ;
- 3 et 4 novembre 2026 : Notion déconnecte ses systèmes de Fireworks par précaution, puis y supprime toutes ses données ;
- 6 et 8 novembre 2026 : Fireworks indique que des données de clients ont pu être consultées, puis confirme le jeu de données final ;
- 9 novembre 2026 : Notion contacte les clients concernés ;
- 11 et 12 novembre 2026 : Notion révoque les clés d’API Notion exposées, puis signale les clés tierces à leurs fournisseurs.
Entre l’accès du 24 octobre et les premiers e-mails du 9 novembre, il s’est écoulé seize jours, et dix-huit avant la révocation des premières clés. C’est long pour une clé d’API, exploitable dès les premières minutes, comme le rappelle le mode opératoire de ces pirates.
Un pillage qui vise les accès aux modèles d’IA
Fireworks attribue l’attaque à un groupe de cybercriminels motivé par l’argent, qui revend des jetons d’accès à des modèles d’IA obtenus frauduleusement à des passerelles de routage illicites. Google Threat Intelligence Group et Mandiant ont décrit ce trafic, baptisé LLMjacking, dans une publication du 2 novembre. Selon Wiz, cité par VentureBeat, au moins neuf plateformes de développement d’IA ont signalé des incidents en octobre, et des clés volées ont été testées moins de 30 minutes après leur vol.
Le prestataire a élargi son bilan au fil des jours. Sa dirigeante a reconnu que l’intrusion était allée au-delà des machines de développement :
Cela leur a permis d’accéder à une partie des systèmes de stockage, avec des conséquences supplémentaires pour les données des clients.
Lin Qiao, PDG de Fireworks AI, dans un message publié sur X et cité par VentureBeat le 11 novembre 2026
Fireworks affirme ne pas avoir détecté d’atteinte à ses services d’inférence courants. Le stockage, lui, a cédé, et c’est là que dormaient les conversations de Notion AI, ce qui soulève la question des promesses de conservation affichées par l’éditeur.
Une promesse de conservation limitée qui ne couvrait pas tout
Sur sa page consacrée à la sécurité de Notion AI, l’éditeur annonce que pour les offres Free, Plus et Business, le fournisseur d’IA conserve vos données 30 jours au plus, avant de les supprimer. Pour l’offre Enterprise, la plupart des modèles fonctionnent en rétention zéro, c’est-à-dire sans rien garder après la réponse.
Ces engagements visent la génération des réponses. Les transcriptions envoyées à Fireworks servaient à une autre tâche, la classification pour Insights, et elles se trouvaient dans un stockage du prestataire. Selon la documentation de Fireworks citée par VentureBeat, sa rétention zéro est désactivée par défaut, réservée aux comptes Enterprise, et certaines fonctions conservent le contenu des clients.
Notion précise elle-même que certaines fonctions peuvent exiger des modèles qui conservent les données. Pour l’utilisateur, l’écart est concret : une garantie formulée pour les réponses de l’assistant ne dit rien des traitements annexes, et la liste des sous-traitants reste sur une page séparée que peu de gens consultent.
Les gestes à faire si Notion vous a écrit
Notion indique que les espaces qui n’ont pas reçu de message ne sont pas identifiés comme touchés. Pour les autres, les consignes de l’éditeur et le précédent d’OpenCode dessinent une liste courte mais à suivre dans l’ordre :
- consulter les données concernées dans l’espace de travail, selon les instructions reçues par e-mail, et les considérer comme exposées ;
- changer tout mot de passe ou identifiant collé dans Notion AI, la révocation par Notion ne couvrant que ses propres clés ;
- révoquer chez chaque fournisseur les clés d’API tierces apparues dans une conversation, puis surveiller la consommation comme lors de la fuite des clés d’OpenCode ;
- sur l’offre Enterprise, vérifier qu’aucun modèle sans rétention zéro n’a été activé par le propriétaire de l’espace.
La fonction Insights reste coupée pendant l’enquête, et Notion ne dit pas si elle reviendra, ni sous quelle forme. L’éditeur a cessé de recourir à Fireworks, y compris pour l’inférence de modèles ouverts qu’il lui confiait.
L’assistant, nouveau coffre-fort par accident
Un assistant intégré à un outil de travail reçoit des fragments de contrats, des identifiants et des notes de réunion, souvent sans y penser. Chaque fonction annexe peut multiplier les copies de ces échanges chez des prestataires que l’utilisateur ne connaît pas, et la confidentialité dépend alors du plus discret d’entre eux, comme le montrait déjà la tentative d’envoi vers Pékin d’un modèle censé tourner en local.
La réponse se jouera dans les contrats et les réglages. Des éditeurs qui publient la liste de leurs traitements d’IA fonction par fonction, une rétention zéro étendue aux tâches d’analyse, des clés qui cessent de transiter par les discussions : c’est à ces détails que se mesurera la confiance accordée aux assistants, bien plus qu’aux promesses générales affichées sur une page de sécurité.
