Ep.1610 Notion AIチャット記録流出の衝撃──委託先Fireworks AIの侵害が浮き彫りにしたAIサプライチェーンの死角（2026年11月11日配信）

タイトル

Notion AIチャット記録流出の衝撃──委託先Fireworks AIの侵害が浮き彫りにしたAIサプライチェーンの死角

このエピソードで登場するキーワードを説明します。

Notion Labs: クラウド型ワークスペース「Notion」を開発・運営する米国のスタートアップ。ドキュメント管理からAIエージェントを活用した業務自動化まで幅広い機能を提供している。

Fireworks AI: 元Metaのエンジニアであるリン・チャオ氏らが設立した米国のAI推論基盤スタートアップ。オープンウェイトモデルの高速実行環境を多くの企業や開発者に提供している。

LLMジャッキング: 企業のクラウド環境やAI基盤からAPIキーや認証情報を窃取し、高価な大規模言語モデルの計算資源を不正にタダ乗りしたり、トークンを闇市場のブローカーに転売したりするサイバー攻撃手法。

オープンウェイトモデル: 学習済みのパラメータである重みデータが公開されており、企業や開発者が自社のサーバーや外部の推論基盤上で自由にカスタマイズ・実行できるAIモデル。

Unit 42: 米サイバーセキュリティ大手パロアルトネットワークスの脅威インテリジェンスおよびインシデント対応部門。今回のFireworks AIの侵害調査と封じ込めを支援している。

それでは解説に入ります。

クラウド型ワークスペースを提供する米国のNotion Labsは現地時間の2026年11月9日、同社のAI機能である「Notion AI」において、外部委託先のAI推論プロバイダーであるFireworks AIがサイバー攻撃を受けた影響により、一部のワークスペースにおけるAIチャットの記録が第三者に閲覧・取得された恐れがあると公表しました。影響を受けたのは全ワークスペースの1パーセント未満とされていますが、日常業務で広く使われているSaaSの裏側にある「AIサプライチェーン」の脆弱性を突いた事案として、多くの企業の情報システム部門やセキュリティ担当者に波紋を広げています。

今回の事態の発端は、NotionがAI機能の一部を処理するために利用していた米国のスタートアップ、Fireworks AIで2026年10月に相次いで発生した2つの経路からの不正アクセスにあります。Fireworks AIの発表およびBloombergなどの報道によると、最初の侵害は2026年10月6日に検知された内部認証情報の不正使用でした。さらに深刻だったのが2つ目の経路で、2026年10月23日にFireworks AIの研究開発マシンをホストしていた第三者のクラウド事業者でセキュリティ侵害が発生し、翌10月24日に攻撃者がそのアクセス権を悪用してFireworks AIの開発マシンへと侵入しました。Fireworks AIのリン・チャオCEOの説明によれば、攻撃者は開発マシンから複数回の権限昇格を繰り返してクラウドのサービスアカウントを乗っ取り、顧客データの一部が保管されていたストレージシステムへと到達しました。この攻撃の背後には、不正取得したAPIキーなどを用いて大規模言語モデルの利用枠を盗み出し、闇市場の中継業者へ転売する「LLMジャッキング」を目的とした金銭目的のサイバー犯罪グループが存在するとみられています。

Notion側の対応を時系列で振り返ると、委託先からの段階的な報告によって被害範囲が後から判明していくサプライチェーン攻撃特有の難しさが浮き彫りになります。まず2026年11月2日の夜、Fireworks AIからNotionに対して、小規模なデータセットが不正アクセスを受けたとの第一報が入りました。この時点でのNotionの調査では、対象はNotion AIの合成テストデータのみであり、顧客データは含まれていないと判断されました。しかしNotionは予防的措置として、翌11月3日の朝までにFireworks AIとのシステム接続を完全に遮断し、先方のシステム上にある全データの削除と通信の停止を実施しています。ところが11月6日になり、Fireworks AIから「悪意のある第三者が顧客データとみられる情報にアクセスした可能性がある」との追加通知が寄せられ、Notionは直ちに社内調査を再開しました。そして11月8日にFireworks AIから最終的な影響データセットの提供を受けて分析した結果、顧客が自身のAI利用状況を把握するための「Insights」機能のデータ分類処理に使われていた、Notion AIのチャット記録が含まれていたことが判明しました。Notionは翌11月9日に影響を受けたワークスペースのオーナーへ個別にメールで通知を行うとともに、セキュリティアドバイザリを公開し、11月10日には顧客からの質問を踏まえて説明を明確化した更新版を発表しています。

Notionの説明によると、流出した恐れのあるチャット記録の大半には、誰が書き込んだかやどの企業のワークスペースからのものかを示す識別ラベルが付与されておらず、ツール呼び出しの結果も含まれていませんでした。また、AIミーティングノートの音声や文字起こし、およびその他のNotionの通常機能には影響がないとしています。しかし、AIガバナンスの専門機関などが警鐘を鳴らしているのは、たとえシステム上の識別ラベルが付いていなくても、ユーザーがチャット欄に直接貼り付けた文章の中に社外秘のプロジェクト名や個人情報、あるいはソースコードやパスワード、APIキーといった認証情報が含まれていれば、文脈から企業や個人が特定され、二次被害につながるリスクがあるという点です。そのためNotionは、対象期間中にNotion AIへパスワードやAPIキーなどの機密情報を入力した可能性がある場合は直ちにそれらを変更・再発行するよう強く推奨しており、影響を受けたワークスペースのオーナーがデスクトップ版アプリから該当するチャット記録のCSVデータを安全にダウンロードして確認できる専用ツールを提供しています。また、Notionは現在Insights機能を無効化し、Fireworks AI経由でのオープンウェイトモデルの提供および学習実験をすべて停止しました。

今回のインシデントは、企業のAI活用における「サブベンダーの死角」という重大な構造的課題を突きつけています。多くの企業はSaaSを導入する際、直接の契約相手であるプラットフォーム事業者のセキュリティ基準は審査しますが、その裏側でAIの推論やデータ分類を請け負っている三次・四次のAIインフラ事業者がどこであり、自社のプロンプトデータがどのように流れているかまでは把握できていません。2026年11月6日に公表されたコンプライアンス関連の調査でも、取引先が利用するサードパーティAIのガバナンスまで追跡できている企業はわずか15パーセントにとどまることが指摘されています。なお、Fireworks AIは今回の事案に関して、NotionのほかにもAIコードエディタとして人気の高い「Cursor」などの顧客とも連携して対応にあたっていると明かしており、パロアルトネットワークスのUnit 42の支援のもとで全認証情報の入れ替えやネットワーク隔離を進めています。便利なAI機能が標準搭載されたSaaSを業務の基盤とする現代の企業にとって、自社のシステムが直接破られなくとも、委託先のさらに裏側にあるAIインフラから機密情報が漏れ出すリスクを前提とした契約の見直しと、プロンプトに生の認証情報を絶対に入力させない社内ルールの徹底が急務となっています。

今回のエピソードは以上で終了です。また次回お会いしましょう。