你有没有想过，你在 Notion 里跟 AI 说的那些话，可能并不只存在 Notion 的服务器上。它们还可能躺在另一家你从没听说过的公司手里——而那家公司刚刚被黑了。当地时间 11 月 12 日，TechCrunch 报道，AI 推理服务商 Fireworks AI 确认遭遇网络攻击，攻击者通过它的云服务商进入开发系统，窃取了计费数据和部分数据集。受影响的客户里，有一个名字所有人都认识：Notion。Notion 随后确认，被盗数据包括部分用户的 Notion AI 聊天记录，涉及不到 1% 的工作区。事情本身不算天塌下来，但它戳破了一个很多人没意识到的问题：你用的 AI 工具，背后往往还站着另一家 AI 公司，而你的数据要过几道手，你自己说了不算。这篇文章把已经核实的部分讲清楚，再告诉你普通用户现在能做的四件实事。
事情是怎么发生的：攻击者走的是云服务商这条路
先把时间线捋一遍，因为时间线里藏着这次事件最关键的细节。根据 Fireworks AI 在 11 月 9 日发布的安全更新，攻击发生在 10 月 23 日到 24 日。攻击者先进入了托管 Fireworks 研发机器的第三方云服务商，再利用这条通道进入 Fireworks 的开发系统，并在里面运行了未授权的工作负载。Fireworks 表示，攻击者出于牟利目的，目标是窃取大语言模型的访问权限并转卖使用额度，也就是安全行业常说的令牌盗用。换句话说，这起攻击一开始未必是冲着 Notion 的聊天记录来的，聊天记录是攻击者顺手牵走的数据集的一部分，但这并不让事情变得轻微——数据一旦到了别人手里，动机是什么已经不重要了。
Notion 这边的动作很快。11 月 2 日，Fireworks 通知 Notion 发生了安全事件，并提到有一个小数据集被访问，当时 Notion 判断其中只有合成测试数据。11 月 3 日，Notion 切断了与 Fireworks 的全部系统连接，删除了存放在对方系统里的数据，并停止了双方之间的一切连接。11 月 8 日，Fireworks 确认了最终受影响的数据集，其中包括 Notion AI 的聊天记录。11 月 9 日，Notion 开始联系受影响的客户。11 月 11 日，Notion 撤销了在受影响消息中找到的 Notion API 密钥。11 月 12 日，Notion 向相关公司报告了在消息中暴露的第三方 API 密钥。同日，TechCrunch 的报道把整件事公开。值得一提的是，这已经是 Fireworks 在两个月内第二次确认数据泄露，上一轮事件发生在 10 月初，当时公司曾表示没有发现客户模型或数据集被访问的证据，而 11 月 9 日的更新推翻了这一判断。
还有一个细节值得单独拎出来。Notion 表示，Fireworks 曾在合同中承诺对 Notion 的数据实行零留存，也就是用完即删、不保存。但 Notion 的调查发现，相关数据实际上还是被保留了下来，并且就在这次被盗的数据里。对普通用户来说，这个细节比攻击本身更值得记住：合同里写了不保存，不等于技术上真的没保存。你作为用户，既看不到对方的服务器，也验证不了对方的承诺，只能在出事之后从披露里得知真相。
被盗的到底是什么：不到 1% 的工作区，聊天记录却可能认不出主人
Notion 确认，被盗的是使用 Notion AI 当中 Insights 功能的用户的聊天记录。Insights 是 Notion 提供给工作区管理员的一项功能，用来了解团队使用 AI 的情况。Notion 的说法是，被盗的聊天记录包括写进聊天里的任何模型输入和输出，也就是说，你在 Notion AI 对话框里输入的文字、粘贴的内容，以及模型返回的回答，都有可能在其中。
影响范围，Notion 的官方口径是不到 1% 的工作区。TechCrunch 的报道写的是大约 1% 的客户。两个口径略有出入，但量级一致：受影响的是少数用户，不是全体。Notion 表示已经联系了所有受影响的客户，如果你没有收到 Notion 的通知，大概率不在这次受影响的范围之内。不过这里有一个让人不太舒服的转折：Notion 同时表示，被盗数据当中的大部分无法对应到具体是哪位客户、哪个工作区。也就是说，Notion 自己也说不清楚每一份聊天记录属于谁。这对受影响的用户是坏消息，对没收到通知的用户也不是百分之百的定心丸——因为无法归属的数据，理论上就无法做到逐一通知。
哪些东西没有被盗，同样要说清楚，避免无谓的恐慌。被盗的是 AI 聊天记录，不是整个 Notion 工作区的内容。Notion 没有表示用户的页面、数据库、文件附件在这次事件里被盗，Fireworks 窃取的是它自己系统里的计费数据和数据集。Fireworks 方面被盗的计费信息据报道包括账单地址和发票记录等内容。至于被盗聊天记录的具体条数、涉及多少名用户，Notion 和 Fireworks 都没有公布，网上流传的任何具体数字目前都没有官方来源支撑，不值得采信。另外，Notion 在邮件中说明，被盗的聊天记录不包括工具调用结果，但这属于技术细节，普通用户不必深究，关键在于：凡是写进 Notion AI 对话框里的文字，都应默认可能在被盗范围内。
还有一点需要提醒华人用户：Notion 在北美华人用户当中的普及程度很高，很多人用它记笔记、管项目、写文档，也有人把工作资料、求职准备、签证材料清单甚至包含个人信息的内容放进 Notion AI 里对话。如果你属于这一类，这次事件与你的关系就比想象中更近。哪怕你的工作区不在那不到 1% 之内，这件事也是一个提醒：你放在 AI 对话框里的东西，生命周期比你想象的长，流转的范围也比你想象的广。
真正值得警惕的不是 Notion，是供应商的供应商
这次事件最值得写进文章里的，不是 Notion 做错了什么，而是它揭示了一种新的数据风险结构。过去我们理解的数据泄露，大多是这样的：你把数据交给一家公司，那家公司被黑了，你的数据就泄露了。现在的链条变长了：你把数据交给 Notion，Notion 把其中一部分交给 Fireworks 去处理，Fireworks 的机器放在第三方云服务商那里，攻击者从云服务商下手，一路摸到 Fireworks 的开发系统，最后拿走了 Notion 用户的数据。你的数据要经过三家公司、三个环节，每一个环节出问题，都会传导到你身上，而你只认识其中第一家。
这就是所谓的供应链攻击在 AI 时代的样子。AI 产品几乎没有一家是完全自给自足的：有的用别人的模型，有的用别人的推理服务，有的把分类、摘要、检索这些环节外包给专门的服务商。Notion AI 背后有多个模型供应商，Fireworks 只是其中之一，负责 Insights 功能的分类处理和部分开源模型的服务。类似的结构在你常用的其他工具里同样存在：笔记软件、写作助手、翻译工具、会议记录工具，背后都可能挂着你叫不出名字的推理服务商、云服务商和数据处理方。你在注册时同意的隐私条款，管的是你和这家公司的关系，管不到这家公司和它供应商之间的关系。
这并不是说以后就不能用 AI 笔记工具了。完全不用 AI 工具，在今天的职场和学习里并不现实。但至少要建立一个基本的判断：凡是经过 AI 对话框的内容，都默认会离开你正在使用的这款产品，进入一个你看不见的链条。敏感程度越高的内容，越不应该长期留在 AI 聊天记录里。很多人习惯把 AI 当成一个什么都能问的私人助理，顺手就把护照号、银行账号、公司内部资料、工资单、医疗信息粘贴进去让它整理、翻译、总结。这种用法在便利的同时，也把风险拉到了最大——因为一旦链条上任何一环出事，这些内容就可能出现在别人的硬盘里。
对 Notion 来说，这次事件之后它已经不再通过 Fireworks 提供开源模型服务，Insights 功能也已停用。这是亡羊补牢，但补的是它自己的羊圈。对用户来说，真正能做的不是等每一家公司出事后再补救，而是从现在开始调整自己使用 AI 工具的习惯。下一节的四件事，每一件都不需要技术背景，今天就能做。
普通用户现在要做的四件事
第一件，检查 Notion 的通知和登录记录。打开 Notion，查看你是否收到与这次事件有关的邮件或站内通知。Notion 表示已经联系了所有受影响的客户，所以如果你收到了通知，认真读完里面的说明，按它的指引处理。即使没有收到通知，也值得顺手检查一下账号的登录记录和已连接的应用，看看有没有不认识的设备或授权。很多人从来没点开过这个页面，现在就是一个合适的时机。发现异常登录，第一时间改密码并撤销可疑的授权。
第二件，改密码并开启两步验证，同时轮换可能出现在 AI 聊天里的密钥。如果你曾经在 Notion AI 的对话框里粘贴过密码、API 密钥、访问令牌或者其他凭证，现在就去把它们换掉。Notion 在 11 月 11 日撤销了在受影响消息中找到的 Notion API 密钥，但那只是它能做到的部分，你自己粘贴过的其他服务的密钥，还得你自己去换。顺带把 Notion 账号的密码换成一个没有在其他地方用过的强密码，并开启两步验证。两步验证不能防止数据泄露，但能防止别人拿着泄露的密码直接登录你的账号，这是成本最低的一道防线。
第三件，敏感内容不要长期留在 AI 聊天记录里，养成定期清理的习惯。把 AI 聊天记录当成一张草稿纸，而不是档案柜。身份证件号码、银行账号、工资收入、医疗记录、公司内部文件、孩子的学校信息，这些内容尽量不要直接粘贴进任何 AI 对话框。如果确实需要 AI 帮忙处理，先把关键信息替换成占位符，或者只粘贴脱敏后的版本。已经粘贴过的，看看产品是否提供删除聊天记录的功能，有就定期清理。很多 AI 产品默认会保留你的对话记录用于改进服务，不清理就等于默认同意一直保留。
第四件，关注官方后续通知，只认官方渠道。这次事件还有不少未解之处：被盗数据的完整清单、无法归属的那部分数据最终如何处理、Fireworks 的整改进展，都有可能在未来几周陆续披露。建议直接关注 Notion 官方的安全公告页面和 Fireworks 的安全更新，不要轻信社交媒体上流传的所谓内部消息，更不要点击任何声称来自 Notion、要求你验证账号或下载工具的链接。数据泄露事件之后，钓鱼邮件往往会跟着来，冒充官方通知诱导你点链接、输密码。凡是让你交密码、交验证码的，一律先停下来，通过官方网站或官方应用自己去核实。
同一天的另外两起安全新闻：补丁打了也未必安全
11 月 12 日这一天，安全圈的消息不止 Fireworks 这一件，另外两起同样值得普通用户知道，哪怕你不是技术人员。第一起是远程管理工具 N-able 的 N-central。研究人员公开了名为 4EverAble2Shell 的新漏洞利用链，概念验证代码发布后数小时内就被攻击者投入实战。研究人员统计，至少 21 台服务器被攻陷，其中 19 台已经打上了 N-able 当周发布的紧急补丁 Hotfix 2，攻击者在这些服务器上安装了门罗币挖矿程序。这条利用链结合了 Apache Axis 的一个漏洞和 N-central 自身的提权弱点，只在开启了旧版接口的服务器上生效。补丁打了仍然中招，这个情节本身就是一条新闻：打补丁很重要，但补丁不是万能药，配置问题同样能要命。
第二起是 Apache 修补了一个 HTTP/2 严重漏洞，编号 CVE-2026-119618，影响 2.4.55 到 2.4.70 版本，修复版本是 11 月 11 日发布的 2.4.71。这个漏洞是 mod_http2 模块里的竞态条件，未经身份验证的攻击者有可能借此在服务器上远程执行代码。发现者是 Anthropic 的开源软件扫描器和谷歌云的研究人员。对普通用户来说，这个漏洞的意义不在于技术细节，而在于它影响的是全世界大量网站都在用的基础软件。网站管理员需要尽快升级到 2.4.71，普通用户能做的，是留意自己常访问的服务有没有发布相关公告。
把这三件事放在一起看，11 月 12 日像是一面镜子，照出了今天网络安全的真实结构：攻击者不一定直接攻击你用的产品，他们会攻击产品背后的供应商、供应商的云服务商、甚至全世界共用的基础软件。防线不是一道，而是一串，任何一环断掉都会传导到终端用户身上。
总结
Fireworks AI 被黑、Notion AI 聊天记录被盗这件事，影响范围目前看是不到 1% 的工作区，大多数 Notion 用户没有收到通知，也不必过度恐慌。但它留下的教训是普遍的：你写进 AI 对话框里的每一句话，都可能经过一家你从没听说过的供应商，躺在你看不见的服务器上，而合同里的零留存承诺未必兑现。普通用户能做的四件事并不复杂：检查通知与登录记录，改密码、开两步验证并轮换可能泄露的密钥，不把敏感内容长期留在 AI 聊天记录里，关注官方后续通知并警惕随之而来的钓鱼邮件。AI 工具会继续好用下去，但好用的前提，是你清楚自己的数据到底去了哪里。
暂无评论内容