Como o vazamento da Fireworks AI expôs transcripts da Notion e o ecossistema criminoso do LLMjacking

A cadeia de suprimentos de software é tão forte quanto seu elo mais fraco — um princípio que os especialistas em segurança cibernética repetem há décadas sem conseguir impedir que se repita. Em novembro de 2026, a Fireworks AI, plataforma de hospedagem de modelos de inteligência artificial, sofreu duas violações em dois meses, e a segunda delas revelou não apenas dados de clientes diretos, mas um desdobramento surpreendente: a Fireworks era, ela própria, uma vítima. Entre seus clientes estava a Notion, que ao desconectar suas ferramentas de IA da plataforma acabou expondo um fragmento do problema que toda a indústria tenta compreender.

O que aconteceu na Fireworks AI é um caso de estudo sobre como um ataque à infraestrutura de IA se propaga em cascata, tocando empresas que nunca imaginaram que estariam no mesmo fluxo de dados — e revelando, ao mesmo tempo, um mercado criminal emergente que os analistas batizaram de "LLMJacking".

A violação e a descoberta inesperada

Na noite de 2 de novembro, a Fireworks AI notificou a Notion que um conjunto limitado de dados havia sido acessado por agentes maliciosos. A princípio, o conjunto incluía apenas dados sintéticos de teste. Três dias depois, a Notion desconectou proativamente seus sistemas da Fireworks, apagou todos os dados armazenados no sistema da plataforma e interrompeu toda a comunicação entre os dois serviços.

Em 6 de novembro, a Fireworks informou que agentes maliciosos podem ter acessado dados de clientes. A Notion iniciou nova investigação interna. Foi em 8 de novembro que a Fireworks confirmou o conjunto final afetado. Na manhã de 9 de novembro, a Notion entrou em contato com os clientes impactados.

A descoberta veio da análise desse dataset final: a Fireworks havia fornecido à Notion um arquivo que continha transcripts de chat do Notion AI usados na função "Insights". Os transcripts incluíam "qualquer entrada ou saída do modelo que foi gravada no chat", conforme descreveu a Notion em sua divulgação oficial. A empresa enfatizou que grande parte dos dados era não atribuída e não podia ser determinada como pertencente a qual cliente. O que mais preocupa é que, além dos próprios transcripts, não há informação adicional que vincule as conversas a workspaces, usuários ou empresas — um alívio parcial para quem teme exposição direta.

Em 12 de novembro, a Notion divulgou que chaves de API de terceiros encontradas nas mensagens afetadas também foram reportadas aos fornecedores que as emitiram. A empresa recomenda que os clientes afetados tratem os dados como se estivessem expostos e, caso tenham colado informações sensíveis, senhas ou chaves de API no Notion AI durante o período do incidente, que as substituam.

Duas violações, dois vetores

O que torna o caso da Fireworks AI particularmente instructivo é que não se trata de um único evento, mas de duas violações distintas em outubro, como confirmou a empresa em seu boletim de segurança. A primeira violação ocorreu por meio de credenciais internas comprometidas, que permitiram o acesso a variáveis de ambiente usadas em jobs de avaliação de clientes, incluindo chaves de API e tokens armazenados como segredos. A segunda violação aconteceu por meio de um provedor de nuvem de terceiros que hospedava máquinas de P&D da Fireworks.

A combinação desses dois vetores criou um caminho completo para os atacantes: primeiro acessaram segredos armazenados nos jobs de avaliação de clientes, depois ampliaram o alcance através do provedor de nuvem comprometido. O resultado foi um acesso escalonado que atingiu metadata de recursos, informações de conta e faturamento, e — para um conjunto limitado de contas — segredos, datasets e pesos incompletos de modelos.

Isso último é particularmente interessante. Pesos incompletos de modelos são checkpoints de treinamento parciais que podem revelar informações sobre o processo de fine-tuning de um cliente, suas estratégias de treinamento e, potencialmente, sobre seus próprios modelos. A Fireworks não divulgou perdas financeiras, mas o escopo da exposição é significativo.

LLMjacking: o crime que alimenta o incidente

A Fireworks acredita que os atacantes são movidos por motive financeiro e que seus objetivos estão focados em vender tokens acessando modelos de linguagem de forma não autorizada. Esses esquemas dependem da revenda para terceiros não autorizados, que podem consumir recursos de IA sem usar seus próprios recursos — um fenômeno que Google Threat Intelligence Group (GTIG) e Mandiant documentaram como "LLMJacking".

Em um relatório de novembro de 2026, o GTIG descreveu um ecossistema criminoso especializado em que "LLM Mixers" — gateways de roteamento criminosos que agregam credenciais de API comprometidas e revendem acesso a modelos a assinantes underground — atuam como o centro da infraestrutura de monetização. Um desses serviços, chamado Jet Night, ofereceu um plano "ilimitado" por cerca de US$ 60 por mês. Em um incidente, um operador do serviço realizou mais de 500.000 chamadas de API em menos de oito horas, gerando quase US$ 1 milhão em custos de tokens que caíram na fatura da vítima.

A conexão direta entre o ataque à Fireworks e o LLMjacking ainda está sob investigação. A Fireworks identificou evidências que vinculam a atividade a criminosos financeiramente motivados envolvidos em LLMjacking. O GTIG, por sua vez, não identificou uma conexão direta com o vazamento da Fireworks, embora os modus operandi sejam consistentes com as campanhas de LLMjacking mapeadas pelo grupo.

O elo fraco da cadeia de suprimentos de IA

O caso da Fireworks e Notion ilustra algo que se torna cada vez mais evidente: a cadeia de suprimentos de IA é exponencialmente mais complexa e vulnerável do que a cadeia de suprimentos de software tradicional. Uma empresa que usa um serviço de IA de terceiros pode, sem saber, estar armazenando dados sensíveis em uma plataforma que, por sua vez, depende de dezenas de outros provedores.

A Notion não é uma exceção — é um sintoma. A empresa afetou cerca de 1% de seus próprios clientes por meio dessa conexão indireta, mas o número de workspaces comprometidos é proporcional ao volume de integração. Centenas de milhares de desenvolvedores usam a Fireworks AI para servir seus próprios produtos, e cada um desses desenvolvedores carrega, por extensão, os riscos de segurança de sua infraestrutura.

O que torna o caso ainda mais preocupante é o timing: estamos em 2026, um ano em que a adoção de IA generativa no enterprise alcançou níveis sem precedentes. Empresas estão integrando agentes de IA em seus fluxos de trabalho, conectando ferramentas de produtividade a modelos de linguagem, e confiando em plataformas de terceiros para gerenciar dados críticos. Cada conexão é um vetor de ataque potencial.

O que observar

O caso da Fireworks AI e da Notion levanta questões que vão além de um único incidente. A convergência entre violações de credenciais, LLMjacking e cadeia de suprimentos de IA sugere que os próximos meses verão mais casos semelhantes — e talvez em escala maior.

A pergunta que fica é: quando cada empresa no ecossistema de IA depende de dezenas de provedores de terceiros, como garantir que a segurança de toda a cadeia não se reduza à fraqueza do elo mais exposto?

Fontes: TechCrunch, Notion, CSO Online

✓ Fontes independentes cruzadas e verificadas antes da publicação