記事の内容を音声で聞きたい方はこちら↓
自社のセキュリティをどれだけ強固に固めても、普段使っているSaaSの裏側に潜むAIプロバイダーが狙われれば、機密情報はあっけなく外へ漏れ出す。ワークスペースツール大手NotionのAI機能「Notion AI」で発覚したチャット履歴の流出事件は、生成AI時代のサプライチェーンリスクをこれ以上ないほど鮮明に突きつけた。
事の発端は、NotionがAIインフラの提携ベンダーとして利用していたFireworks AIへの不正アクセスだ。Notionはオープンウェイトモデルの提供や、ワークスペース内でのAI利用状況を分析する「Insights」機能の分類ジョブに同社のプラットフォームを活用していた。
被害規模は全ワークスペースの1%未満。数字だけ見れば限定的に映るが、流出したの中身は軽視できない。Insightsの処理のために送信されたユーザーのチャット履歴、つまりプロンプトとして打ち込まれた生テキストそのものだからだ。大部分のデータには発言者や送信元ワークスペースを示すラベルこそ付いていなかったものの、テキスト内に書かれた機密情報やパスワード、APIキーは無防備なまま晒された。Notion側も11月11日、調査過程でメッセージ内から見つかったNotion APIキーを強制的に無効化する措置に踏み切っている。
時系列を追うと、事態の深刻さが徐々に浮かび上がってきた様子がわかる。Fireworksから最初の警告が届いたのは11月2日。この時点では「合成テストデータのみ」との報告だった。Notionは翌3日の朝までにシステム接続を遮断し、Fireworks上の全データを削除する迅速な初動を見せた。しかし6日になって顧客データへのアクセス可能性が浮上し、8日には実際のチャット履歴を含むデータセットの流出が確定する。翌9日、Notionは該当する顧客への通知を開始した。
攻撃の手口は、インフラの隙間を突く典型的な踏み台攻撃だ。10月23日、Fireworksの研究開発用マシンをホストしていた外部のクラウドプロバイダーでセキュリティ侵害が発生。攻撃者はその翌日に開発用マシンへと侵入し、不正なワークロードを実行した。メタデータや請求情報に加え、一部顧客のデータセットや不完全なモデル重みまで盗み出されている。さらに遡れば、10月初旬にもAPIキーなどの機密情報が漏洩する別の侵入が起きていたというから、脇の甘さは否めない。
背後に見え隠れするのは「LLMjacking（LLMジャッキング）」と呼ばれる新たな犯罪トレンドだ。盗み出した認証情報で大言語モデルへの不正アクセス権を確保し、そのアクセス枠を闇市場で転売して金銭を得る。11月2日にはGoogleの脅威インテリジェンスグループとMandiantが警鐘を鳴らしたばかりであり、Fireworksも調査のためにPalo Alto Networksの精鋭部隊「Unit 42」を招集する事態となった。
ここで直視すべきは、SaaSの「ゼロデータ保持（Zero Data Retention）」ポリシーに潜む落とし穴だ。多くのAIベンダーは「デフォルトでデータを保存しない」と謳う。しかし、今回悪用されたバッチ処理や分類ジョブのような非同期機能では、処理の性質上データがストレージに一時保存されるケースが少なくない。企業側が「AIに学習されない設定だから安心」と思い込んでいても、サブプロセッサ（再委託先）の特定機能でデータが滞留し、そこが突破口になる。日本国内でも11月11日以降、複数の導入企業が相次いで情報漏洩の可能性に関するリリースを出すなど、波紋は確実に広がっている。
Notionから個別の連絡が来ていない場合、現時点で特別な対応は必要ない。一方、通知を受けたワークスペースのオーナーは、PCのWebブラウザ版Notionにある「セキュリティインシデントのレビュー」から該当データを確認し、メンバーへ履歴ダウンロード用のリンクを共有する必要がある。該当期間中にNotion AIへパスワードやAPIキーを貼り付けた心当たりがあるなら、すべての認証情報を即座に再発行すべきだ。
現在、NotionはInsights機能を停止し、Fireworks経由でのオープンウェイトモデルの提供も打ち切っている。利便性を優先してクラウド型のAI統合ツールを使い続けるか、それともローカル環境で完結するObsidianのようなツールへ回帰するか。AI機能の裏側でどのベンダーがどうデータを処理しているのか、ブラックボックス化したサプライチェーンの透明性を問う声が、今後さらに強まるのは間違いない。
Source:Notion
ポチップ
