Executive Summary

주요 수치

앞의 두 숫자는 노션이 겪은 일의 크기와 속도를 가리키고, 뒤의 두 숫자는 그 일이 노션 한 곳에서 멈추지 않는다는 신호다.

출처: Notion, Fireworks AI incident, TechCrunch (2026-11-12).

노션이 처음 받은 연락은 그리 급한 내용이 아니었다. 11월 2일 저녁 파이어웍스는 악의적 행위자가 접근한 데이터가 있다고 알리면서, 그 데이터는 노션 AI의 합성 테스트 데이터로 보인다고 전했다. 합성 테스트 데이터는 사람이 실제로 쓴 글이 아니라 기능을 시험하려고 지어낸 자료다. 노션은 다음 날 파이어웍스와의 연결을 끊었다. 트래픽을 멈추고 파이어웍스 시스템에 있던 노션 데이터를 모두 지웠다.

이야기가 바뀐 것은 나흘 뒤다. 11월 6일 파이어웍스는 고객 데이터가 접근당했을 수 있다고 다시 알렸고, 노션은 내부 조사에 들어갔다. 11월 8일 파이어웍스가 영향받은 데이터셋을 확정해 건넸다. 그 안에 Insights 기능에 쓰인 노션 AI 대화 기록이 있었다. 노션은 다음 날 피해 고객에게 연락하고 보안 권고문을 공개했다. 11월 11일에는 이용자가 대화 중 적어 넣은 노션 API 키 가운데 노출된 것을 찾아 무효화했다.

▲ 노션 보안 권고문(Fireworks AI incident)의 타임라인을 옮겼다.

이 엿새가 이 사고에서 가장 눈여겨볼 대목이다. 노션은 11월 3일에 이미 할 수 있는 조치를 다 했다. 연결을 끊었고 벤더에 있던 데이터를 지웠다. 그래도 무엇이 나갔는지는 알 수 없었다. 침해당한 회사가 자기 피해 범위를 다 세어 통보해 줄 때까지 기다리는 것 말고는 방법이 없었기 때문이다. 벤더에 맡긴 데이터에서 사고가 나면 사고 대응의 시계는 우리가 아니라 그쪽이 쥔다.

파이어웍스는 공개된 가중치의 모델을 남의 제품을 위해 구동해 주는 회사다. 직접 모델을 만들어 파는 대신, 공개된 모델을 자기 설비에 올려 두고 다른 회사의 요청을 받아 처리한다. 전 세계 수만 곳을 고객으로 두고 있다고 내세우며, 공개된 명단에는 법률 AI 회사 하비(Harvey)와 코딩 도구 커서(Cursor)가 있다. 이런 회사에 자본이 몰린 흐름 자체는 앞선 리포트에서 따로 다뤘다.

노션이 이 회사에 맡긴 일은 둘이다. 하나는 노션 제품 안에서 공개 가중치 모델을 구동하는 일이고, 다른 하나는 Insights 기능에 쓰이는 분류 작업이다. Insights는 팀이 AI를 어떻게 쓰고 있는지 관리자에게 보여 주는 기능이다. 어떤 대화가 어떤 종류의 일인지 갈라 주어야 집계가 되니, 분류를 맡기려면 대화 자체를 넘겨야 한다. 유출된 기록이 하필 Insights용이었던 이유가 여기 있다.

파이어웍스에서 난 사고는 이번이 처음이 아니다. 10월 6일 확인한 1차 사고에서는 환경 변수에 들어 있던 API 키와 토큰이 드러났다고 블리핑컴퓨터가 전했다. 두 번째는 서드파티 클라우드 제공업체를 거쳐 개발용 장비에 닿은 침해였다. 파이어웍스는 자사 공지에서 이 접근을 10월 24일로 적었고, 보도 일부는 10월 23일로 적었다. 두 사고 사이는 18일이다.

파이어웍스는 공격자가 금전을 노린 것으로 보고 있다. 대형 언어 모델에 접근할 권한을 뚫어 그 토큰을 되파는 것이 목적으로 보인다는 설명이다. 11월 9일 공지는 피해 범위로 리소스 메타데이터와 청구 정보, 그리고 일부 고객의 불완전한 모델 가중치와 데이터셋을 꼽았다. 노션의 대화 기록은 이 목록 가운데 데이터셋에 섞여 있었다.

무엇이 나갔는지는 노션이 비교적 구체적으로 적었다. Insights 기능에 쓰인 노션 AI 대화 기록이고, 테크크런치는 그 기록에 모델에 넣은 말과 모델이 돌려준 말 가운데 채팅에 적힌 것이 모두 들어 있다고 전했다. 대화 한 토막이 아니라 주고받은 전문이라는 뜻이다.

피해를 덜어 주는 사실도 함께 적혀 있다. 노션은 피해 워크스페이스의 대다수에서 그 기록이 귀속 불가 상태였다고 밝혔다. 누가 썼는지도, 어느 워크스페이스에서 온 것인지도 기록에 표시되어 있지 않았다는 뜻이다. 모델이 외부 도구를 불러 받아 온 결과도 기록에 들어 있지 않았다. 대화 내용은 나갔지만 그것이 누구의 대화인지는 붙어 있지 않았다는 이야기다.

노션이 이용자에게 권고한 조치도 이 지점을 향한다. 사고 기간에 노션 AI 창에 붙여 넣은 비밀번호와 API 키, 그 밖의 자격 증명은 노출된 것으로 보고 바꾸라는 것이다. 노션이 직접 거둬들일 수 있었던 것은 자기 서비스의 키뿐이었다. 사내 서버와 결제 대행사, 클라우드 계정의 자격 증명이 대화에 섞여 있었다면 그것을 바꾸는 일은 붙여 넣은 사람 몫으로 남는다. 피해 워크스페이스의 소유자는 노션 웹 화면의 보안 사고 검토 항목에서 해당 데이터를 직접 확인할 수 있고, 구성원에게 자기 기록을 내려받을 링크를 보낼 수도 있다.

노션이 직접 손본 대목은 세 가지다. Insights 기능은 조사가 끝날 때까지 꺼 두었고, 파이어웍스를 통한 공개 가중치 모델 제공도 중단했다. 그리고 추론 업체와 데이터 처리 업체를 비롯한 주요 거래처가 데이터 최소화와 제로 데이터 보존을 지키고 있는지 감사하겠다고 했다. 꺼 두고 끊은 둘은 이번 경로를 막는 조치이고, 감사는 같은 일이 다른 거래처에서도 벌어지는지 세어 보겠다는 약속이다.

노션은 이번 사고를 설명한 문답에서 파이어웍스가 자사 플랫폼 이용에 대해 제로 데이터 보존을 계약상 약속했다고 밝혔다. 제로 데이터 보존은 요청을 처리하는 동안에만 데이터를 두고 처리가 끝나면 남기지 않겠다는 뜻이다. 그 약속대로였다면 11월 8일에 건네받은 데이터셋 안에 대화 기록이 있을 수 없다. 그런데 있었다.

사고를 알리는 글과 함께 공개된 그 문답에는 약속의 범위도 적혀 있다. 노션은 제로 데이터 보존이 기업 고객을 위한 약속이며, 노션 AI의 답을 만들려고 외부 모델 업체에 보내는 API 요청에 적용된다고 썼다. 그리고 범위 밖에 두는 기능이 이름까지 올라 있다. 대화 기록 보관과 Insights처럼 요청과 응답을 저장해 두어야 돌아가는 기능이다. Insights를 돌릴 때 노션은 저장해 둔 요청과 응답을 파이어웍스에 보내 분석을 맡겼다고 적었다. 빠져나간 것이 바로 그 저장본이다.

여기서 멈추면 계약과 사고는 서로 다른 이야기가 된다. 노션은 그렇게 쓰지 않았다. 조사 과정에서 자신들이 쓰던 파이어웍스 엔드포인트에 데이터가 남아 있었다는 사실을 알게 됐다고 이어서 적는다. 저장이 전제인 기능은 약속의 범위 밖이었다는 설명과, 약속을 받아 둔 자리에 데이터가 남아 있었다는 고백이 한 문서에 나란히 있다.

파이어웍스의 11월 9일 공지는 이 대목을 비껴간다. 공지는 "Inference, Training SDK, Nexus에는 영향이 확인되지 않았으며, 셋 다 기본이 제로 데이터 보존"이라고 적었다. 영향이 없었던 제품을 나열했을 뿐, 노션의 기록이 어느 제품에 남아 있었는지는 말하지 않는다. 벤처비트는 같은 목록이 린 차오 최고경영자의 X 글에는 "배치 추론을 제외한 Inference"로 적혀 있다고 지적했다. 공지문에는 없는 단서가 한 줄 붙은 셈이다.

단서가 가리키는 방향은 분명하다. 벤처비트가 인용한 파이어웍스 문서에 따르면 기본은 제로 데이터 보존이되 저장형 응답과 배치 작업, 학습처럼 고객 콘텐츠를 실제로 저장하는 기능이 몇 가지 있다. 회사는 조사 기간 동안 배치 추론과 데이터셋 기반 학습의 셀프서비스 데이터셋 업로드·다운로드를 막았다. 저장이 일어나는 길목이 어디인지는 그 조치가 말해 준다.

그래서 남는 물음은 범위가 아니라 자리다. 노션의 기록을 실제로 들고 있던 파이어웍스 쪽 기능이 무엇이었는지, 얼마나 오래 거기 있었는지는 두 회사 모두 적지 않았다. 벤처비트도 같은 공백을 짚는다. 앞서 적은 세 후보 가운데 어느 쪽이었는지는 공개된 문서로 가릴 수 없다고 이 글은 본다.

한 가지는 짚어 둘 만하다. 제로 데이터 보존은 데이터가 남지 않게 하는 약속이지 침입을 막는 장치가 아니다. 조항이 완벽하게 지켜졌더라도 공격자가 개발용 장비에 닿는 일 자체를 막지는 못한다. 약속이 줄이는 것은 뚫렸을 때 거기 남아 있을 데이터의 양이다. 이번에는 그 양이 0이 아니었다.

이 뉴스는 보통 노션 이용자의 보안 공지로 소비된다. 데이터를 다루는 쪽에서 보면 다른 대목이 남는다. 직원이 노션에 적은 말은 노션에만 머물지 않았다. 모델을 대신 돌려 주는 회사가 그 말의 전문을 들고 있었고, 그 회사는 노션 고객이 고른 적이 없다. 계약도 노션이 맺었고, 사고 통보도 노션이 받았고, 피해 범위를 세는 일정도 그 회사가 쥐고 있었다.

아래 도식은 이번에 드러난 경로를 그대로 옮긴 것이다. 왼쪽 끝에 직원이 있고, 오른쪽 끝에 공격자가 닿은 기록이 있다. 네 칸 가운데 이용자가 관계를 아는 칸은 앞의 둘뿐이다.

▲ 페블러스 원본 도식. 각 칸의 역할은 노션 보안 권고문의 서술에서 옮겼다.

노션이 특별히 허술했다고 보기는 어렵다. 오히려 공개한 내용이 꽤 자세한 편이다. 연결을 끊은 날, 지운 범위, 기록의 상태, 권고 조치가 날짜와 함께 적혀 있다. 다만 이 사고는 노션만의 구조가 아니다. 공개 가중치 모델을 제품에 얹은 회사는 대개 그 모델을 직접 돌리지 않는다. 그래서 우리가 쓰는 AI 기능 뒤에는 거의 언제나 이름을 들어 본 적 없는 회사가 한둘 서 있다.

그러니 조직이 던질 질문은 "그 서비스가 안전한가"보다 앞에 놓인다.

• 우리가 쓰는 AI 기능이 어느 회사의 설비를 거치는지 목록으로 적을 수 있는가. 기능 단위로 적을 수 있어야 한다. 같은 제품 안에서도 요약은 자체 모델, 분류는 외부 업체로 갈리기 때문이다.
• 데이터를 남기지 않기로 한 조항이 있다면 그 약속이 어느 기능까지, 어느 요금제까지 덮는가. 노션의 설명대로 그 약속이 답을 만드는 요청에만 걸리고 저장이 전제인 기능은 범위 밖이라면, 조항이 있어도 데이터는 남는다.
• 그 업체에서 사고가 났을 때 우리가 받을 통보는 누구를 거쳐 며칠 만에 오는가. 노션은 엿새를 기다렸고, 노션 고객은 그보다 하루 더 기다렸다.
• 직원이 AI 창에 자격 증명을 붙여 넣었을 때 그것을 찾아 무효화할 수 있는가. 이번 사고에서 노션이 할 수 있었던 일이 바로 그것이다.

네 질문 모두 사고가 난 뒤에는 답하기 어렵다. 벤더의 벤더까지 적어 둔 목록, 기능별로 어떤 데이터가 어디로 나가는지 적은 기록, 그리고 그 기록을 최신으로 유지하는 절차. 이 셋을 평소에 가진 조직만 사고가 났을 때 자기 피해 범위를 스스로 셀 수 있다. 노션이 사고 뒤에 주요 거래처 감사를 꺼내 든 것도 결국 이 목록을 뒤늦게 만드는 일이다.

1차 소스 (노션)

• 1.Notion. (2026-11-10). "Fireworks AI incident." Notion Security Advisories. notion.com
• 2.Notion. "Notice about the Fireworks AI incident that may impact some Notion workspaces." Notion Help Center. notion.com

1차 소스 (파이어웍스)

• 3.Fireworks AI. (2026-11-09). "Update on October 2026 security incident." Fireworks AI Security Bulletins. fireworks.ai

보도

• 4.Whittaker, Z. (2026-11-12). "Cyberattack on Fireworks AI allowed hackers to access Notion customers' chat transcripts." TechCrunch. techcrunch.com
• 5.Toulas, B. (2026-11-11). "Notion says Fireworks breach exposed customer AI chat transcripts." BleepingComputer. bleepingcomputer.com
• 6.Columbus, L. (2026-11-11). "Attackers breached the Fireworks AI storage where Notion AI chats sat outside zero data retention." VentureBeat. venturebeat.com