Cómo la filtración de Fireworks AI expuso los transcripts de Notion y el ecosistema criminal del LLMjacking
La cadena de suministro de software es tan fuerte como su eslabón más débil — un principio que los especialistas en seguridad cibernética repiten desde hace décadas sin lograr impedir que se repita. En noviembre de 2026, Fireworks AI, plataforma de alojamiento de modelos de inteligencia artificial, sufrió dos violaciones en dos meses, y la segunda reveló no solo datos de clientes directos, sino un giro sorprendente: Fireworks era, ella misma, una víctima. Entre sus clientes estaba Notion, que al desconectar sus herramientas de IA de la plataforma terminó exponiendo un fragmento del problema que toda la industria intenta comprender.
Lo que ocurrió en Fireworks AI es un caso de estudio sobre cómo un ataque a la infraestructura de IA se propaga en cascada, tocando empresas que nunca imaginaron estar en el mismo flujo de datos — y revelando, al mismo tiempo, un mercado criminal emergente que los analistas bautizaron como "LLMJacking".
La violación y el descubrimiento inesperado
En la noche del 2 de noviembre, Fireworks AI notificó a Notion que un conjunto limitado de datos había sido accedido por actores maliciosos. Al principio, el conjunto incluía solo datos sintéticos de prueba. Tres días después, Notion desconectó proactivamente sus sistemas de Fireworks, borró todos los datos almacenados en el sistema de la plataforma e interrumpió toda la comunicación entre ambos servicios.
El 6 de noviembre, Fireworks informó que actores maliciosos pueden haber accedido a datos de clientes. Notion inició una nueva investigación interna. Fue el 8 de noviembre que Fireworks confirmó el conjunto final afectado. La mañana del 9 de noviembre, Notion contactó a los clientes impactados.
El descubrimiento llegó del análisis de ese dataset final: Fireworks había proporcionado a Notion un archivo que contenía transcripts de chat del Notion AI usados en la función "Insights". Los transcripts incluían "cualquier entrada o salida del modelo que fue grabada en el chat", según describió Notion en su divulgación oficial. La empresa enfatizó que gran parte de los datos era no atribuido y no podía determinarse como perteneciente a qué cliente. Lo más preocupante es que, además de los propios transcripts, no hay información adicional que vincule las conversaciones a workspaces, usuarios o empresas — un alivio parcial para quien teme exposición directa.
El 12 de noviembre, Notion publicó que las claves de API de terceros encontradas en los mensajes afectados también fueron reportadas a los proveedores que las emitieron. La empresa recomienda que los clientes afectados traten los datos como si estuvieran expuestos y, si hubieran pegado información sensible, contraseñas o claves de API en Notion AI durante el período del incidente, que las reemplacen.
Dos violaciones, dos vectores
Lo que hace el caso de Fireworks AI particularmente instructivo es que no se trata de un solo evento, sino de dos violaciones distintas en octubre, como confirmó la empresa en su boletín de seguridad. La primera violación ocurrió por medio de credenciales internas comprometidas, que permitieron el acceso a variables de entorno usadas en jobs de evaluación de clientes, incluyendo claves de API y tokens almacenados como secretos. La segunda violación ocurrió por medio de un proveedor de nube de terceros que hospedaba máquinas de P&D de Fireworks.
La combinación de estos dos vectores creó un camino completo para los atacantes: primero accedieron a secretos almacenados en los jobs de evaluación de clientes, luego ampliaron el alcance a través del proveedor de nube comprometido. El resultado fue un acceso escalonado que alcanzó metadata de recursos, información de cuenta y facturación, y — para un conjunto limitado de cuentas — secretos, datasets y pesos incompletos de modelos.
Eso último es particularmente interesante. Los pesos incompletos de modelos son checkpoints de entrenamiento parciales que pueden revelar información sobre el proceso de fine-tuning de un cliente, sus estrategias de entrenamiento y, potencialmente, sobre sus propios modelos. Fireworks no divulgó pérdidas financieras, pero el alcance de la exposición es significativo.
LLMjacking: el crimen que alimenta el incidente
Fireworks cree que los atacantes están motivados financieramente y que sus objetivos están enfocados en vender tokens accediendo a modelos de lenguaje de forma no autorizada. Estos esquemas dependen de la reventa a terceros no autorizados, que pueden consumir recursos de IA sin usar sus propios recursos — un fenómeno que Google Threat Intelligence Group (GTIG) y Mandiant documentaron como "LLMJacking".
En un informe de noviembre de 2026, el GTIG describió un ecosistema criminal especializado en el que "LLM Mixers" — gateways de enrutamiento criminosos que agregan credenciales de API comprometidas y revenden acceso a modelos a suscriptores underground — actúan como el centro de la infraestructura de monetización. Uno de estos servicios, llamado Jet Night, ofreció un plan "ilimitado" por cerca de US$ 60 por mes. En un incidente, un operador del servicio realizó más de 500.000 llamadas de API en menos de ocho horas, generando casi US$ 1 millón en costos de tokens que cayeron en la factura de la víctima.
La conexión directa entre el ataque a Fireworks y el LLMjacking aún está bajo investigación. Fireworks identificó evidencias que vinculan la actividad a criminosos financieramente motivados involucrados en LLMjacking. El GTIG, por su parte, no identificó una conexión directa con la filtración de Fireworks, aunque los modus operandi son consistentes con las campañas de LLMjacking mapeadas por el grupo.
El eslabón débil de la cadena de suministros de IA
El caso de Fireworks y Notion ilustra algo que se vuelve cada vez más evidente: la cadena de suministros de IA es exponencialmente más compleja y vulnerable que la cadena de suministros de software tradicional. Una empresa que usa un servicio de IA de terceros puede, sin saberlo, estar almacenando datos sensibles en una plataforma que, a su vez, depende de decenas de otros proveedores.
Notion no es una excepción — es un síntoma. La empresa afectó cerca del 1% de sus propios clientes por medio de esta conexión indirecta, pero el número de workspaces comprometidos es proporcional al volumen de integración. Cientos de miles de desarrolladores usan Fireworks AI para servir sus propios productos, y cada uno de estos desarrolladores carga, por extensión, los riesgos de seguridad de su infraestructura.
Lo que hace el caso aún más preocupante es el timing: estamos en 2026, un año en que la adopción de IA generativa en la empresa alcanzó niveles sin precedentes. Empresas están integrando agentes de IA en sus flujos de trabajo, conectando herramientas de productividad a modelos de lenguaje, y confiando en plataformas de terceros para gestionar datos críticos. Cada conexión es un vector de ataque potencial.
Qué observar
El caso de Fireworks AI y Notion plantea preguntas que van más allá de un solo incidente. La convergencia entre violaciones de credenciales, LLMjacking y vulnerabilidades de la cadena de suministros de IA sugiere que los próximos meses verán más casos similares — y quizás a mayor escala.
La pregunta que queda es: cuando cada empresa en el ecosistema de IA depende de decenas de proveedores de terceros, cómo garantizar que la seguridad de toda la cadena no se reduzca a la debilidad del eslabón más expuesto?
Fuentes: TechCrunch, Notion, CSO Online
✓ Fuentes independientes cruzadas y verificadas antes de la publicación
