Fireworks AI lộ billing và weights chưa hoàn chỉnh, Notion xác nhận dưới 1% workspace có thể bị ảnh hưởng

Nếu anh em dùng Notion mỗi ngày, hoặc đang chạy model qua Fireworks, thì tin ngày 09/11 mình nghĩ đáng đọc kỹ, vì Fireworks mở rộng phạm vi vụ việc tháng 10 sang billing, secrets, datasets và một phần weights chưa hoàn chỉnh, còn Notion xác nhận dưới 1% workspace có thể bị ảnh hưởng, với transcript chat AI cho Insights có thể đã lọt ra ngoài qua vendor.

Tóm tắt nhanh: ngày 06/10 credential nội bộ Fireworks bị lạm dụng, ngày 24/10 kẻ xâm nhập vào máy dev qua sự cố cloud bên thứ ba, ngày 09/11 bulletin mở rộng phạm vi sang billing, secrets, datasets và weights chưa hoàn chỉnh ở nhóm nhỏ tài khoản. Notion: dưới 1% workspace có thể bị ảnh hưởng, chỉ transcript chat AI cho Insights. Làm ngay: rotate credential đã dán vào Notion AI, khách hàng Fireworks thì thay key đã bị thu hồi.

Timeline hai đường xâm nhập từ 06/10 tới 09/11 và vì sao báo chí gọi đây là vụ hack thứ hai

Mình đọc bulletin 09/11 thì thấy ngay điểm anh em hay hiểu nhầm, đây vẫn là một cuộc điều tra tháng 10 với hai đường xâm nhập, còn vụ hack thứ hai là cách gọi của Bloomberg.

Đường credential nội bộ của Fireworks từ 06/10 tới 10/10 chạm tới secrets của evaluation jobs

Ngày 06/10/2026 credential nội bộ Fireworks bị dùng trái phép, kẻ xâm nhập chạm tới API key và token lưu dưới dạng secrets cho evaluation jobs của một số ít tài khoản. Từ ngày 07/10 hãng bắt đầu thông báo cho khách hàng bị ảnh hưởng, ngày 09/10 công bố bulletin đầu tiên và xoay API key nhân viên, rồi ngày 10/10 thu hồi thêm key người dùng và xoay token service account.

Đường cloud bên thứ ba từ 23/10 tới 25/10 lan vào máy dev của Fireworks

Ngày 23/10/2026 cloud bên thứ ba đặt máy R&D của Fireworks gặp sự cố bảo mật, ngày 24/10 kẻ xâm nhập dùng sự cố đó chạm tới máy dev rồi chạy workload trái phép, hãng phát hiện ngay trong ngày và đóng các lỗ hổng nghiêm trọng đã biết, rồi từ 25/10 hãng nói chưa phát hiện thêm bằng chứng truy cập thành công nào. Tên cloud vẫn chưa được nêu ở bất kỳ nguồn nào, còn tin hàng chục nghìn file của Bloomberg vẫn chưa chốt, vì chỉ có một nguồn ẩn danh qua trung gian.

Vì sao Bloomberg gọi đây là vụ hack thứ hai trong khi bulletin nói đây là một cuộc điều tra

Bulletin ngày 09/11 là bản cập nhật của bulletin gốc ngày 09/10, điều tra vẫn đang tiếp diễn, và theo bulletin thì bằng chứng cho thấy hai đường xâm nhập có liên hệ với cùng một nhóm tội phạm mạng vì tiền, nhóm bán token qua LLMJacking. Lúc đầu tháng 10 Fireworks chỉ xác nhận secrets của evaluation jobs bị chạm tới, năm tuần sau phạm vi mở rộng thành billing, secrets, datasets và một phần weights chưa hoàn chỉnh, nên Bloomberg gọi đây là second hack in weeks, còn iFynx thì nhấn mạnh đây là cập nhật trong cùng một cuộc điều tra.

Dữ liệu nào của khách hàng Fireworks bị lộ và những gì chắc chắn không bị lộ

Billing, secrets, datasets và một phần weights chưa hoàn chỉnh đều bị lộ ở nhóm nhỏ tài khoản, còn số thẻ thì không. Đầu tháng 11 cũng có vụ WorkOS lộ dữ liệu app bán hàng nội bộ, Chainstack lộ password hash và node credential, một vụ lộ dữ liệu khác mà hãng phải lên tiếng về mức độ liên hệ với ARTEX.

Metadata tài nguyên, thông tin billing và secrets bị lộ ở nhóm tài khoản nào

Metadata bị lộ là những thứ mô tả tài nguyên, gồm identifier, tên hiển thị, mô tả và thời gian tạo. Thông tin billing thì gồm địa chỉ billing và shipping, hóa đơn, lịch sử thanh toán, số dư tài khoản và credit usage. Còn secrets cho evaluation jobs, gồm API key và token, bị truy cập từ đường 06/10, bulletin chỉ nói nhóm nhỏ tài khoản.

Datasets và một phần weights chưa hoàn chỉnh bị truy cập ở nhóm nhỏ khách hàng

Với một số khách hàng nhất định, một phần model weights chưa hoàn chỉnh và datasets đã bị truy cập, mình nhấn mạnh chữ chưa hoàn chỉnh, vì nó chưa đủ để gọi là model production đầy đủ bị đánh cắp. Trong lúc điều tra Fireworks đã tắt tính năng tự phục vụ upload và download dataset dùng cho Batch Inference và training theo dataset.

Số thẻ thanh toán, model production đầy đủ, prompt và inference traffic chưa có bằng chứng bị lộ

Số thẻ thanh toán không được Fireworks lưu trữ nên không bị ảnh hưởng, điểm này khớp giữa bulletin Fireworks, BleepingComputer và CybersecurityNews. Fireworks nói chưa phát hiện ảnh hưởng nào tới Inference, Training SDK và Nexus, cả ba đều mặc định không giữ dữ liệu, còn gọi là ZDR, và cũng chưa có bằng chứng nào cho thấy prompt hay inference traffic bị lộ, mà điều tra vẫn đang chạy nên kết luận này có thể đổi.

Notion: dưới 1% workspace có thể bị ảnh hưởng, transcript chat AI cho Insights có thể đã lọt ra và hãng đã cắt Fireworks

Mình nói gọn thì Notion không bị xâm nhập, mà dữ liệu người dùng Notion vẫn lộ vì Notion gửi transcript chat AI sang Fireworks để chạy classification, và anh em dùng Notion không hề biết dữ liệu của họ đi qua vendor thứ ba, cũng không có cách nào tự kiểm tra. Vụ Gemini đưa email và file Drive của người dùng cho người đánh giá đọc là một trường hợp khác mà dữ liệu gửi qua dịch vụ AI lọt tới tay bên thứ ba.

Dưới 1% workspace nghĩa là gì và transcript chat AI nào của Notion có thể đã lộ ra ngoài

Notion xác định dưới 1% workspace Notion có thể bị ảnh hưởng, theo trang Help Center và advisory của Notion ngày 10/11/2026, tức hơn 99% nằm ngoài diện này, và con số này chỉ nói về workspace Notion. Tối 02/11 Fireworks báo một dataset nhỏ bị truy cập, Notion kiểm tra thấy chỉ là dữ liệu test tổng hợp. Ngày 08/11 Fireworks xác nhận dataset mới chứa transcript chat Notion AI cho Insights.

Transcript không gắn nhãn nghĩa là gì và vì sao nội dung chat vẫn có thể nhận diện được người

Một số phiên chat Notion AI không gắn nhãn có thể đã lộ, nghĩa là chat không ghi ai viết hay workspace nào, transcript không chứa kết quả tool call, ngoài nội dung trong transcript thì không có thông tin nào gắn chat đó với một workspace, user hay công ty cụ thể. Nhưng mình đồng tình với _fw, trong đa số trường hợp chỉ cần nội dung trò chuyện là đủ để xác định tổ chức hoặc cá nhân, nên đừng vội kết luận transcript vô hại. Còn RamblingCTO thì cho biết đã tải dataset bị lộ về và đó là toàn bộ đoạn chat của chính người đăng, trải nghiệm cá nhân chưa kiểm chứng độc lập.

Notion đã cắt kết nối, tắt Insights và ngừng dùng Fireworks cho open-weight model

Sáng 03/11 Notion cắt mọi kết nối tới hệ thống Fireworks, xóa toàn bộ dữ liệu trong hệ thống Fireworks, dừng mọi liên lạc từ hệ thống Notion tới Fireworks, đồng thời dừng mọi training run. Notion cũng tắt Insights, ngừng dùng Fireworks làm inference provider cho open-weight model, và đã liên hệ với chủ workspace bị ảnh hưởng, nên workspace nào không nhận được liên hệ thì coi như không bị ảnh hưởng.

Làm gì ngay, phân theo từng nhóm người dùng Notion và khách hàng Fireworks

Notion khuyên coi dữ liệu như đã lộ, nên việc đầu tiên anh em cần làm là rotate credential đã dán vào Notion AI, còn khách hàng Fireworks thì thay key đã bị thu hồi trước.

Workspace Notion bị ảnh hưởng thì rotate credential đã dán vào Notion AI và xem dữ liệu lộ theo gói

Làm theo ngay: Notion khuyên coi dữ liệu này như đã lộ, nếu ai trong team từng dán mật khẩu, API key hay credential khác vào Notion AI thì rotate ngay. Chủ workspace xem dữ liệu bị ảnh hưởng bằng cách vào sidebar, rồi dấu hỏi chấm, rồi mục Security incident review, trên app desktop hoặc trình duyệt web bản mới nhất, không xem được trên mobile. Gói Enterprise xem được file CSV có chú thích thêm metadata, ví dụ user gắn với từng transcript, phần metadata chú thích này thì mình ghi rõ luôn là không bị lộ trong sự cố. Các trường chú thích thêm đánh dấu __metadata hoặc __analysis, chỉ chủ workspace mới xem được, và chỉ có khi workspace có managed members.

Chủ workspace các gói khác chỉ nhận một trang chứa link để từng member tự xem dữ liệu của riêng từng người. Andugal cho biết email Notion nói có 2 member bị ảnh hưởng, họ không được email chủ động, chủ workspace phải chia sẻ trang cho họ.

Workspace Notion không nhận được liên hệ thì coi như không bị ảnh hưởng và không cần làm gì ngay

Workspace nào không nhận được liên hệ từ Notion thì coi như không bị ảnh hưởng và không cần làm gì ngay lúc này, theo trang Help Center và advisory của Notion, mà dưới 1% workspace có thể bị ảnh hưởng thì hơn 99% nằm ngoài diện này. Nhưng mình đồng tình với cách đọc của Shank ở đây, thực chất Notion không thông báo cho bạn nếu họ không gắn được transcript với bạn, nên cứ coi mọi thứ nhạy cảm từng gửi vào Notion AI là đã lộ.

Khách hàng Fireworks thay key đã bị thu hồi, rotate credential bên thứ ba và rà soát log

Khách hàng Fireworks bị ảnh hưởng thì thay key Fireworks đã bị thu hồi trước, rồi rotate credential bên thứ ba từng lưu dưới dạng secret. Cảnh báo nhỏ: xóa secret đã lưu không làm mất hiệu lực của credential gốc, nên phải rotate ở bên thứ ba thì key cũ mới thực sự mất tác dụng. Sau đó rà soát log truy cập, user lạ, API key, training job và dataset để tìm hoạt động trái phép, còn liên hệ về sự cố thì gửi tới [email protected]. Vụ ChatGPT Desktop bị tố forward SSH agent sang máy remote là một lời nhắc khác rằng key có thể lọt ra ngoài theo đường không ngờ tới.

Người dùng chung coi mọi token từng dán vào chat AI là đã lộ và đừng dán secret thật vào chat AI

lowdude nêu một nguyên tắc dùng được lâu dài, coi API token là đã lộ ngay khi dán vào chat AI là mặc định hợp lý nói chung, vì chat AI đâu phải chỗ cất secret. vinaygundeti18 thì nhắc rằng bảo mật của một công ty chỉ mạnh bằng tích hợp bên thứ ba yếu nhất của nó, nên doanh nghiệp cần đánh giá cẩn thận bảo mật vendor và hạn chế dữ liệu chia sẻ cho dịch vụ bên ngoài, đây, theo mình, là nguyên tắc thực chiến anh em nên giữ cả sau vụ này.

Vì sao cộng đồng hoài nghi tuyên bố ZDR của Fireworks và phản ứng Hacker News hai phía ra sao

Câu hỏi chính đáng nhất cả thread Hacker News, theo mình, là nhãn ZDR ghi provider không giữ dữ liệu prompt, vậy sao Notion lại phát hiện dữ liệu đã được lưu.

ZDR của inference khác với dataset upload cho batch inference ra sao

Fireworks nói Inference, Training SDK và Nexus mặc định không giữ dữ liệu, còn gọi là ZDR, trên OpenRouter Fireworks cũng được gắn nhãn ZDR, mà nhãn này chưa được kiểm chứng độc lập trong đợt nghiên cứu này. happygoose giải thích dataset của Fireworks còn dùng cho batch inference, không chỉ để train model, và nhiều khả năng Notion đã upload các cuộc trò chuyện đó lên Fireworks dưới dạng dataset để hưởng chiết khấu batch processing lớn, nhưng đây vẫn là suy luận chưa được xác nhận chính thức.

Phe hoài nghi hỏi thẳng: ZDR rồi thì lấy đâu ra dữ liệu để lộ, và cách Notion ứng phó có ổn không

Mâu thuẫn giữa nhãn và thực tế là leumon thắc mắc trên OpenRouter Fireworks được gắn nhãn ZDR, vậy sao Notion lại phát hiện dữ liệu đã được lưu, còn edot tự hỏi liệu Notion có yêu cầu Fireworks giữ dữ liệu hay không. Mình ghi rõ đây chỉ là suy đoán chưa có bằng chứng, vì bulletin còn nói weights và dataset của khách hàng đã lộ.

Mất niềm tin nói chung thì ares623 hỏi liệu có thật sự tin được một công ty AI là ZDR hay không. 3s đáp không tin được trừ khi kiểm chứng qua hardware attestation kiểu Apple Private Cloud Compute, theo mình thì đây là tiêu chuẩn rất cao.

Cách Notion ứng phó thì _fw chê định nghĩa unattributable của Notion là đáng ngờ, vì nội dung trò chuyện tự nó đã có thể nhận diện được người. frankotron chê Notion bắt người ta phải lên gói Enterprise mới xem được member nào bị ảnh hưởng, còn alentodorov nói toàn bộ bài ứng phó nghe như một cách thoái thác lớn.

Phe giải thích nói dữ liệu lộ qua đường dataset upload, và transcript không gắn nhãn nên rủi ro thấp hơn tiêu đề giật gân

Phía bên kia, happygoose cho rằng dữ liệu lộ là do cách Notion dùng dataset, chứ đâu phải inference thường bị phá vỡ, dù vẫn là suy luận chưa được xác nhận chính thức. Còn Shank và lowdude thì cho rằng transcript không gắn nhãn nên rủi ro thực tế thấp hơn tiêu đề giật gân, nhưng vẫn nên coi như đã lộ, đây là tông cân bằng nhất, theo mình.

Hai suy diễn vượt quá những gì Notion công bố thì mình phản biện luôn. chinathrow nói Notion còn không cho admin xem transcript, nhưng theo Help Center thì chủ workspace Enterprise vẫn xem được CSV có chú thích kèm user. Còn sailorganymede nói mọi contact của họ đều lộ ra ngoài, trong khi Notion nói rõ không có dữ liệu workspace nào khác bị ảnh hưởng ngoài transcript chat AI.

Nhóm tấn công vì tiền, LLMJacking và làn sóng Black October trong tháng 10

Tháng 10 có ít nhất 9 nền tảng AI developer cùng bị săn key, Fireworks là vụ đầu tiên, và nhóm tấn công nhắm tới tiền từ việc bán token LLM trái phép.

LLMJacking là gì và nghiên cứu GTIG và Mandiant ngày 02/11 nói gì về thị trường ngầm bán token

Fireworks nói bằng chứng cho thấy có liên hệ với nhóm tội phạm mạng vì tiền, bán token từ quyền truy cập LLM trái phép qua gateway lậu, gọi là LLMJacking. Ngày 02/11/2026 GTIG và Mandiant công bố nghiên cứu The Rise of LLMJacking, và con số đáng tiền nhất trong đó là hóa đơn gian lận, trong từng vụ Mandiant xử lý, vượt 100.000 USD chỉ trong một ngày, tổng cộng ở một số tổ chức lên tới 1 triệu USD, mình nhắc lại cho rõ, đây là số của các vụ Mandiant xử lý.

Một gateway lậu tên Jet Night chạy hơn 500.000 lệnh gọi model trên key bị đánh cắp trong chưa đầy 8 giờ, rồi bán lại quyền truy cập gói không giới hạn khoảng 60 USD mỗi tháng. Mức này thấp xa mức 100 tới 250 USD GTIG ước tính cho dịch vụ hợp pháp tương đương. GTIG còn xác định một cụm được theo dõi với mã UNC6993, một actor khai thác lỗ hổng CVE-2026-40217 trong LiteLLM, và hai LLM Mixer được công bố là jet-night.com và newapi.pro.

Black October với 9 nền tảng AI developer bị săn key trong tháng 10 và key bị khai thác trong 30 phút

Wiz ghi nhận ít nhất 9 nền tảng AI developer công bố sự cố trong tháng 10/2026, gần như tất cả đều săn key cấp quyền truy cập model AI trong các biến môi trường đã lưu, và Wiz nói không có một lỗ hổng hay dependency duy nhất nào nối các vụ này lại. Danh sách gồm Fireworks AI ngày 06/10, Andromeda ngày 09/10, Zeabur ngày 14/10, Lightning AI ngày 15/10, OpenCode ngày 16 tới 17/10, Railway ngày 20/10, Warp ngày 23/10, CommandCode ngày 28/10, Northflank ngày 30/10, và Fireworks là vụ đầu tiên.

Theo Wiz, hai key doanh nghiệp đã bị xác thực trong vòng 30 phút. Trường hợp A khoảng 800.000 lệnh gọi Bedrock trong hơn 30 giờ, khoảng 90% thành công. Trường hợp B khoảng 1,7 triệu lệnh gọi trong hơn 13 giờ, hơn 1 triệu thành công. Wiz không khẳng định hai key đó rò rỉ từ Fireworks.

Bối cảnh kinh doanh Fireworks với hơn 10.000 khách hàng, định giá 30 tới 40 tỷ USD và tin đồn khách hàng rời bỏ chưa chốt

Fireworks có hơn 10.000 khách hàng, trang web hãng liệt kê Harvey, Notion và Cursor trong số người dùng. Lần định giá gần nhất là 17,5 tỷ USD hồi tháng 7, hãng đang đàm phán gọi vốn mới ở mức 30 tới 40 tỷ USD theo người nắm được vụ việc, vừa báo doanh thu thường niên vượt 1 tỷ USD, con số này thì mình ghi rõ nguồn gốc luôn, đây là số báo chí, chưa phải công bố chính thức của Fireworks.

Tin khách hàng rời bỏ thì mình vẫn để ở diện chưa chốt. The Information qua Benzinga đưa tin một số khách hàng chi hàng triệu USD mỗi năm đang cân nhắc chuyển sang nhà cung cấp khác, còn Forbes qua VectorWire đưa tin hai khách hàng nói họ đã chuyển phần lớn hoạt động ra khỏi hệ thống Fireworks, cả hai tin đều qua trung gian ẩn danh.

Chỗ nào vẫn chưa rõ tính tới 10/11/2026: tên cloud, số tài khoản, phản hồi Cursor và Harvey vẫn chưa có

Tính tới 20:05 ngày 10/11/2026, tên cloud bên thứ ba vẫn chưa được nêu, chưa có con số tài khoản Fireworks bị ảnh hưởng, và Cursor lẫn Harvey đều chưa lên tiếng.

Tên cloud bên thứ ba, số tài khoản Fireworks bị ảnh hưởng và đường xâm nhập nào dính tới Notion

Tên cloud bên thứ ba vẫn chưa được nêu ở bất kỳ nguồn nào tính tới 20:05 ngày 10/11/2026, CybersecurityNews và Tech Insider đều xác nhận chưa nêu tên và không suy đoán. Chưa có con số cụ thể nào về số tài khoản Fireworks bị ảnh hưởng, bulletin chỉ nói nhóm nhỏ tài khoản, và các đoạn trích từ Notion không nói rõ thông báo của Notion liên quan tới vụ credential tháng 10 hay vụ ngày 24/10, nên mối liên hệ đó vẫn chưa xác nhận.

Phản hồi của Cursor và Harvey và tin đồn khách hàng rời bỏ Fireworks

Tính tới 20:05 ngày 10/11/2026, mình không tìm thấy tuyên bố công khai nào của Cursor hay Harvey, kết quả tìm kiếm chỉ trả về bài báo nhắc tên họ. Nên mình chỉ ghi họ được nêu tên qua phát ngôn viên Fireworks với Bloomberg và qua The Information, chứ không ghi họ đã xác nhận bị ảnh hưởng hay đã lên tiếng. Phát ngôn viên Fireworks nói với Bloomberg Law hãng đang tích cực làm việc với khách hàng để xử lý sự cố, trong đó có Notion, Cursor và các khách hàng khác, đây là chi tiết on-record duy nhất về khách hàng trong báo chí tính tới 10/11. Còn JumpCrisscross hỏi chuyện này có phản ánh văn hóa của Fireworks không, mình để đây là câu hỏi mở.

Phản ứng trên Hacker News: hai thread về vụ Notion lên sóng ngày 10/11

X và Reddit không lấy được post nào đọc trực tiếp trong đợt nghiên cứu này, search Reddit trả 0 kết quả, search X chỉ trả bài báo, nên mình không bịa quote X hay Reddit. Hai thread Hacker News về vụ Notion lên sóng ngày 10/11, thread 50437106 lên front page với 73 điểm và 20 bình luận, thread 50436636 là Tell HN của RamblingCTO. Trang status của Fireworks ngày 10/11 chỉ ghi sự cố suy giảm hiệu năng model Kimi K3, không liên quan tới vụ breach.

Bài học còn lại sau vụ Fireworks: dữ liệu đã upload thì vẫn nằm trên hệ thống vendor

Mình thấy vụ này nặng ở hai chỗ, phạm vi mở rộng dần sau khi lúc đầu hãng nói chưa phát hiện ảnh hưởng tới model, dataset hay training data của khách hàng, và người dùng cuối không biết dữ liệu của họ đi qua vendor thứ ba, nên cái bẫy nằm ở chỗ dữ liệu đã upload thì vẫn nằm trên hệ thống vendor.

Việc quan trọng nhất vẫn là rotate credential đã dán vào Notion AI và thay key Fireworks đã bị thu hồi, mình đồng tình với vinaygundeti18 ở điểm này, bảo mật của một công ty chỉ mạnh bằng tích hợp bên thứ ba yếu nhất của nó. Điều tra vẫn đang tiếp diễn nên bài sẽ cần cập nhật khi Fireworks và Notion công bố thêm. Anh em kiểm tra workspace của anh em rồi kể lại dưới bình luận xem có nhận được liên hệ từ Notion không, và anh em từng dán secret nào vào chat AI thì đã rotate chưa.

Nguồn tham khảo

Fireworks, bulletin October 2026 security incident update

Notion Help Center, security incident involving a third-party AI vendor

Notion Security Advisory, security incident involving a third-party AI vendor

Bloomberg, Nvidia-backed Fireworks AI notifies customers of its second hack in weeks

BleepingComputer, Fireworks AI discloses new breach after cloud provider hack

CybersecurityNews, Fireworks AI data breach

Dealroom, Fireworks AI says hackers reached customer datasets and partial model weights

Silicon Report, Fireworks expands breach disclosure to datasets and model weights

iFynx, Fireworks AI data breach, LLMJacking, secrets, datasets, weights

Tech Insider, Fireworks AI second hack, Notion, Cursor, cloud provider breach 2026

VectorWire, Fireworks AI breach widens to datasets and model weights after second intrusion

AISecurePlatform, Fireworks AI breach, billing data, datasets, partial model weights accessed

CyberPress, Fireworks AI confirms LLMJacking cyberattack

Windows Forum, Fireworks AI discloses second breach, customer data exposed, dataset workflows restricted

AgentBeam, Black October, Wiz AI developer platforms, LLMJacking, stolen keys

Hacker News, thread 50437106

Hacker News, thread 50436636

AI Weekly, AI news today, edition 2026-11-10

ExplainX, news

Zubiqo, Nvidia-backed Fireworks AI discloses second data breach in weeks, Bloomberg reports

UNN, Nvidia-backed startup Fireworks AI hacked for the second time in several weeks

Alobbs, post 2026-11-10

Fireworks status page, history