Fuite Notion AI chez Fireworks : l'engagement de zéro rétention n'a pas tenu, comment vérifier ton espace

Ce qui a fuité, et ce qui n'a pas fuité

Le 9 novembre 2026, Notion a prévenu les propriétaires des espaces de travail touchés et publié un bulletin de sécurité, mis à jour le 10 novembre. Les données dérobées ne viennent pas des serveurs de Notion, mais de Fireworks AI, une plateforme américaine d'inférence qui fait tourner des modèles pour d'autres entreprises. Notion s'en servait pour deux choses : servir des modèles à poids ouverts dans son produit, et classer les conversations avec Notion AI pour la fonction Insights, qui montre aux administrateurs comment leurs équipes utilisent l'IA.

Selon ce bulletin, moins de 1 % des espaces de travail sont concernés, et le lot volé contient des transcriptions de conversations avec Notion AI destinées à Insights. Pour la grande majorité des espaces touchés, elles sont « non attribuables » : ni nom d'auteur, ni espace d'origine, ni résultats des outils (les extraits de pages que l'assistant va chercher pour répondre). Notion précise lui-même la limite de cette protection : rien ne relie une conversation à son auteur « au-delà de ce que contient la transcription » (traduction Le Latent).

Autrement dit, tout ce que quelqu'un a tapé ou collé dans le chat est exposé tel quel. La FAQ du centre d'aide le confirme : toute entrée ou sortie du modèle écrite dans le chat fait partie de la transcription. Un nom de client, un extrait de contrat ou une clé d'API suffisent à identifier une personne ou une entreprise. Les notes de réunion IA (audio, transcriptions, résumés) ne sont pas touchées, sauf si elles ont été collées dans une conversation avec Notion AI.

L'engagement de zéro rétention n'a pas tenu

C'est le point que les premières reprises, comme celle de Numerama le 10 novembre 2026, n'abordent pas, et il concerne tous les clients, touchés ou non. Dans la FAQ de son centre d'aide, Notion écrit que Fireworks lui avait donné un engagement contractuel de zéro rétention des données (ZDR) pour son usage de la plateforme. Puis : « nous avons appris pendant notre enquête que des données avaient été conservées à partir des points d'accès Fireworks que nous utilisions » (traduction Le Latent).

La même FAQ précise ce que couvre la promesse de zéro rétention de l'offre Enterprise : les requêtes envoyées aux fournisseurs de modèles pour générer les réponses de Notion AI. Elle ne couvre pas les fonctions qui exigent de stocker les échanges, comme l'historique des conversations et Insights. Pour Insights, Notion stockait les requêtes et les réponses, puis les envoyait à Fireworks pour l'analyse. Un client Enterprise qui pensait ses conversations couvertes par le ZDR ne l'était donc pas pour cette fonction.

Fireworks, de son côté, affirmait dans son premier bulletin, publié le 9 octobre 2026 (heure du Pacifique) que sa plateforme ne stocke ni les requêtes ni les réponses par défaut. Sa mise à jour du 9 novembre ajoute que des jeux de données et des poids de modèles incomplets de certains clients ont été consultés, et que l'inférence, le Training SDK et Nexus, sans rétention par défaut, ne sont pas touchés selon l'enquête en cours. Aucun des deux communiqués ne dit par quel service les conversations de Notion ont été conservées. Notion annonce un audit de ses fournisseurs critiques (inférence, traitement de données) pour vérifier qu'ils respectent leurs engagements de rétention.

Deux intrusions chez Fireworks, une semaine pour comprendre

Les deux entreprises publient chacune une chronologie. Mises bout à bout, elles montrent que Notion a d'abord cru n'être touché que par des données de test.

Fireworks relie l'attaque à un groupe qui revend des accès détournés à des modèles de langage (« LLMjacking »), selon sa mise à jour du 9 novembre. Notion a suspendu Insights et ne sert plus de modèles à poids ouverts via Fireworks. La page des réglages de Notion AI affiche désormais : Insights « temporairement en pause ».

Comment savoir si ton espace est concerné

Notion dit avoir écrit aux propriétaires de tous les espaces identifiés. Si ni toi ni le propriétaire de ton espace n'avez reçu de message, ton espace n'a pas été identifié et aucune action n'est demandée pour l'instant, selon le centre d'aide, qui précise que l'enquête continue. Insights fait partie des réglages d'IA réservés aux propriétaires des offres Business et Enterprise, d'après la documentation des réglages ; Notion ne dit pas quelles offres sont touchées.

Si tu es propriétaire d'un espace prévenu :

1. Ouvre l'outil de revue sur ordinateur. Barre latérale, menu ?, puis Security incident review, sur l'application de bureau ou un navigateur à jour. Ce n'est pas accessible sur mobile.
2. Télécharge la liste des membres touchés (Download affected members) : nom, adresse, statut et nombre de lignes concernées par personne.
3. Récupère le contenu exposé, si ton espace a un domaine vérifié : affected_content.csv (le texte tel qu'il a été lu) et affected_content_annotated.csv, qui ajoute des identifiants et une colonne __analysis signalant les informations sensibles. Sans domaine vérifié, ces fichiers ne sont pas proposés : il faut passer par ton interlocuteur commercial chez Notion.
4. Partage le lien de revue (Copy link) avec les membres concernés : chacun ne voit que ses propres conversations.

Le détail de ces options figure dans la notice du centre d'aide de Notion, consultée le 11 novembre 2026.

Quels secrets changer, et dans quel ordre

Notion recommande de traiter ces données « comme si elles avaient été exposées » et de changer tout mot de passe, clé d'API ou identifiant collé dans Notion AI pendant la période de l'incident, d'après son bulletin. Dans l'ordre :

• Révoque d'abord, chez l'émetteur. Une clé se désactive dans la console du service qui l'a délivrée (fournisseur cloud, Stripe, GitHub…). Fireworks rappelle à ses propres clients que supprimer un secret stocké ne l'invalide pas : la logique vaut ici.
• Cherche aussi ce que la colonne d'analyse ne voit pas : un mot de passe ordinaire, un numéro de contrat, des données de santé ou de salariés. C'est la même limite que celle des scanners de secrets face aux mots de passe laissés par Claude Code dans des dépôts GitHub.
• Vérifie les accès des services concernés (journaux de connexion, téléchargements) avant de clore le dossier.

Pour la suite, l'onglet Controls des réglages de Notion AI permet aux propriétaires de choisir quels fournisseurs et quels modèles leur espace peut utiliser, selon la documentation des réglages. Le 11 novembre 2026, la liste des sous-traitants de Notion mentionnait encore Fireworks, avec un lieu de traitement « Global ». C'est un réflexe à garder avec tout outil qui fait appel à des agents IA : la chaîne de fournisseurs fait partie de la surface d'attaque.

Faut-il prévenir la CNIL ou tes clients ?

Si ton espace Notion contient des données personnelles de clients ou de salariés et qu'une conversation exposée en contient, la question se pose. La CNIL rappelle que le responsable de traitement documente toute violation en interne, la notifie à la CNIL si elle présente un risque pour les personnes, dans les 72 heures si possible après sa constatation (article 33 du RGPD), et prévient les personnes si le risque est élevé. En cas de doute, elle conseille de notifier.

Pour un indépendant, le responsable de traitement est souvent le client dont tu manipules les données : préviens-le dès que tu as lu le fichier, avec ce que tu y as trouvé. Le délai court à partir du moment où la violation est constatée, et Notion a commencé à prévenir les espaces le 9 novembre 2026. D'autres outils pour ton activité sont rassemblés dans la rubrique Freelances.

Ce qu'on ne sait pas encore

Notion ne donne ni le nombre d'espaces ou de conversations touchés, ni la période couverte par les transcriptions volées : sa recommandation parle seulement de « la période de l'incident ». On ne sait pas si les données ont été revendues ou publiées. Dernier point : la FAQ indique que Notion a utilisé par le passé les données volontaires de son programme LEAP pour entraîner des modèles spécialisés chez Fireworks, et qu'il a arrêté tous les entraînements ; elle ne dit pas si ces données figuraient dans le lot dérobé.