把公司机密、代码或者会议纪要喂给 AI 助手时，绝大多数人默认那些文字只在内存里转一圈就销毁了。2026 年 11 月初，在线文档工具 Notion 的一纸安全公告打破了这种默契。为其提供底层开源模型算力的托管平台 Fireworks AI 遭遇网络攻击，黑客顺着上游云服务商摸进 Fireworks 的开发系统，直接端走了使用 Notion AI 旗下 Insights 功能的客户聊天记录。
这起连环泄密波及了 Notion 不到 1% 的工作区，全球数以万计依赖 Fireworks 平台的开发者也被迫拉响警报。比起丢数据本身，整件事里最反常的地方在于，黑客原本只是来偷算力倒卖的，而且按照 AI 行业普遍宣传的零数据保留原则，这些聊天记录本不该以静态数据集的形式躺在研发机器里。
迟到十六天的真相与失守的供应链
把日历翻回 2026 年 10 月，Fireworks AI 的防线其实在一个月内被洞穿了两次。第一次发生在 10 月 6 日，并在 10 月 9 日对外披露，当时攻击者未授权使用了评估任务里的内部凭据和密钥。真正致命的第二次入侵发生在 10 月 23 日至 24 日：一家托管 Fireworks 研发机器的未具名第三方云服务商在 23 日率先失守，黑客在 24 日顺藤摸瓜进入 Fireworks 的开发机器，不仅运行了未授权的工作负载，还打包带走了大批文件。
失窃清单相当扎眼。除了资源元数据、账单和邮寄地址、发票与付款历史、账户余额与信用额度使用情况之外，黑客还拿走了部分客户的未完成模型权重子集和数据集，万幸的是支付卡号没有受到波及。事发后，Fireworks 紧急聘请 Palo Alto Networks 旗下的 Unit 42 团队介入调查，并声称其核心的推理服务、Training SDK 和 Nexus 未检测到异常。
但上游通报给下游的节奏，却像极了一场漫长的挤牙膏。
从 10 月 24 日研发机器失守算起，Notion 直到 11 月 2 日才收到首次通知，且当时的口径仅仅是测试用合成数据暴露。Notion 反应倒算果断，在 11 月 3 日立刻切断了与 Fireworks 的所有连接，并删光了存放在对方系统里的数据。然而到了 11 月 6 日，Fireworks 改口报告有潜在客户数据暴露；直到 11 月 8 日，双方才最终确认包含 Insights 真实聊天记录的数据集被盗，并在 11 月 9 日更新了安全公告。
整整 16 天的窗口期里，被盗的聊天记录包含了用户写进对话框的任何模型输入与输出。这让下游企业陷入了极度被动的排查境地。
零数据保留的文字游戏与顺手牵羊的灰产
一个核心疑问随之浮出水面：既然主流 AI 供应商都拿阅后即焚当卖点，Notion 用户的对话怎么会变成静态数据集留在研发机器上？答案藏在 Fireworks 官方文档的细节里，这也是 VentureBeat 在 11 月 11 日刊文直接点破的盲区——这些聊天记录恰好落在了零数据保留范围之外。
按照 Fireworks 的机制，普通开源模型的提示词和输出确实默认保留在易失性内存中，用完即走。但只要调用了存储响应、批处理任务或者训练等功能，平台就会把客户内容持久化保存下来。更关键的是，其企业级零数据保留强制策略默认关闭，而且即便事后手动开启，系统也不会自动删除已经存下的历史数据。Notion 的 Insights 功能在后台做文本分类与分析时，大概率触发了批处理或评估机制，导致原本该在内存里灰飞烟灭的对话，静默沉淀成了研发环境里的数据集。
合规条款保得住正面大门，防不住后台批处理的暗道。
同样耐人寻味的还有黑客的动机。Fireworks 在声明里反复强调，这批攻击者是受经济利益驱动，主要目标是窃取大语言模型的访问权限去倒卖 Token。就在事发前夕的 11 月 2 日，Google 威胁情报小组与 Mandiant 刚好发布了一份研究报告，专门拆解了这种被称为大模型劫持（LLMjacking）的新型灰产。黑客攻破云和 AI 平台后，把偷来的 API 密钥和访问权限汇聚起来，搭起地下代理网关向第三方低价倒卖算力，最后由受害企业替黑市买单。
司马迁在《史记》里写“天下熙熙，皆为利来”，黑产的算盘确实只盯着真金白银的 Token。但我不太买账的是厂商拿攻击动机当挡箭牌的话术。黑客在研发机里搜刮密钥和运行未授权负载时，看到现成的客户模型权重与聊天数据集，顺手牵羊打包带走几乎是零成本。对于下游企业而言，哪怕数据只是算力盗窃案里的副产品，一旦流落黑市，杀伤力没有任何分别。
悬在多模型路由头上的达摩克利斯之剑
这起事件真正让人后背发凉的，是生成式 AI 繁荣背后那条越拉越长的隐形供应链。今天的 SaaS 应用早已不再只绑死 OpenAI 或 Anthropic 一家，为了压低推理成本或处理特定任务，应用层普遍采用多模型路由架构。前端看着是一个统一的对话框，后台却把文本分类、摘要提取等活儿悄悄分包给了 Fireworks AI 这类托管开源模型的第三方平台。
看看 Fireworks 官网上挂着的客户名单就能明白兹事体大：法律科技独角兽 Harvey、当红的 AI 编程工具 Cursor 都在其中。Harvey 每天吞吐的是律所尚未公开的并购合同与诉讼卷宗，Cursor 浸泡在无数科技公司的核心代码库里。虽然目前只有 Notion 公开承认受到了实质波及，但同处一个屋檐下的企业安全主管们，这个月恐怕都要连夜翻查自己的数据流向图了。
- 风险.Notion 在公告里试图安抚用户，称外泄的聊天记录大多无法归属，因为外层缺失了作者和工作区标签，也不含工具调用结果；但只要有人曾在对话框里随手粘贴过含公司域名的配置代码、内部文档甚至密码，文本内容本身就是一张自报家门的身份证。
这也是为什么 Notion 一边说数据难以归属，一边又不得不敦促那些在聊天里粘贴过密码和 API 密钥的用户立即进行凭据轮换。十九世纪铁路网狂飙突进时，各家铁路公司为了抢进度大量采购廉价的铸铁桥梁，直到一列火车在暴风雨夜坠入泰晤士河口，整个行业才被迫回头清查每一根桥墩的承重标准。今天的 AI 行业正处在相似的抢修期，只不过这次承重开裂的不是铁桥，而是架在云服务商、模型托管商和 SaaS 应用之间的多层外包管道。
你在 Notion 对话框里敲下一行字的时候，以为自己只是在跟一个笔记软件对话。实际上，这段话可能已经跨越了三家公司的服务器边界，最后变成某台第三方研发机器里的静态文件。管住自己贴进对话框的手，再去后台看一眼第三方 AI 供应商的零数据保留开关到底有没有打开，是眼下唯一靠谱的自保动作。