Fireworks AI 해킹, Notion AI 대화 기록 무단 열람으로 번졌다

기업에 AI 모델 학습과 운영 인프라를 제공하는 Fireworks AI가 2026년 10월 잇따라 침해당했고, 그중 한 건이 협업 플랫폼 Notion으로 번졌습니다. iThome에 따르면 Notion AI 대화 기록 일부가 무단으로 열람됐으며, Notion은 영향을 받은 작업 공간이 전체의 약 1%이고 해당 고객에게 이미 알렸다고 밝혔습니다. Notion은 침해당한 것은 자사 시스템이 아니며 다른 기능도 영향을 받지 않았다고 강조합니다.

전체 그림은 아직 불완전합니다. The Register에 따르면 Fireworks와 Notion 모두 두 차례의 침해로 모두 몇 곳의 고객이 영향을 받았는지 공개하지 않았습니다. 따라서 실제 규모는 현재로서는 알 수 없습니다.

Fireworks, 10월에 두 번 침해당하다

The Register와 iThome에 따르면 Fireworks는 10월 6일 내부 자격 증명의 무단 사용을 감지했고 10월 9일 이를 처음 공개했습니다. 공격자는 평가 작업에 쓰이는 환경 변수를 확보했으며, 여기에는 일부 고객의 API 키와 토큰이 포함돼 있었습니다. 당시 회사는 모델, 데이터셋, 학습 데이터, 추론 트래픽에 접근한 증거는 찾지 못했다고 밝혔습니다.

두 번째 침해는 10월 24일에 일어났습니다. Fireworks는 연구개발용 장비를 호스팅하는 외부 클라우드 사업자에서 하루 전인 10월 23일 보안 사고가 있었고, 공격자가 이를 이용해 개발용 장비에 들어와 무단 워크로드를 실행했다고 설명합니다. Fireworks는 AI 모델에 대한 무단 접근권을 되파는 「LLMjacking」과 연관된, 금전을 노린 범죄자를 의심하고 있습니다. 다만 이는 회사의 추정일 뿐 확정된 귀속은 아닙니다.

11월 9일의 업데이트로 공개된 범위는 크게 넓어졌습니다. 영향을 받은 데이터는 다음과 같습니다.

• 리소스 메타데이터(식별자, 표시 이름, 설명, 생성 시각 등).
• 청구 관련 정보(청구지·배송지 주소, 청구서와 결제 내역, 계정 잔액).
• 일부 고객의 데이터셋과 불완전한 모델 가중치 데이터.

Fireworks는 신용카드 번호는 저장하지 않는다고 밝혔습니다. iThome에 따르면 기본적으로 데이터를 보관하지 않는 Inference, Training SDK, Nexus 서비스는 현재까지 영향을 받은 정황이 없습니다. CEO Lin Qiao는 The Register에 다운로드 대부분이 일부만 이뤄지다 중단돼 공격자의 목적이 가중치 탈취는 아닌 것으로 보인다고 말했습니다. Fireworks는 Palo Alto Networks의 Unit 42 팀과 함께 대응하며 자격 증명을 교체하고, 영향받은 시스템을 격리하고, 네트워크 접근을 제한했으며, 배치 추론과 데이터셋 학습에 쓰이는 셀프서비스 업로드·다운로드 기능을 중단했습니다.

Notion이 파악한 내용

Notion은 기업이 Notion AI 사용 현황을 분석하도록 돕는 Insights 기능의 대화 분류와 오픈 웨이트 모델 추론에 Fireworks를 사용했습니다. iThome에 따르면 Notion은 11월 2일 처음 통보를 받았고, 초기 조사에서는 접근된 데이터가 Notion AI의 합성 테스트 데이터이며 고객 데이터는 아니라고 판단했습니다. Fireworks가 11월 6일 고객 데이터 가능성을 다시 알렸고, 11월 8일 데이터 범위가 확정된 뒤에야 Notion은 그 안에 Insights가 쓰는 AI 대화 기록, 즉 모델의 입력과 출력이 들어 있음을 알게 됐습니다.

Notion은 이미 11월 3일 Fireworks와의 연결을 끊고 그곳에 저장된 데이터를 삭제했습니다. 현재 Insights는 중단했고, 오픈 웨이트 모델 추론에도 더는 Fireworks를 쓰지 않습니다. The Register가 인용한 통지 메일(Render의 CEO Anurag Goel이 공유)에서 Notion은 일부 「귀속할 수 없는」 채팅 세션이 노출됐을 수 있으며 작업 공간의 다른 데이터는 영향이 없다고 적었습니다.

채팅 기록 자체에 담긴 내용 외에는, 해당 채팅을 귀하의 작업 공간, 사용자 또는 회사와 연결할 수 있는 정보가 없습니다.

문제는 바로 여기에 있습니다. 영향받은 작업 공간의 대화 기록 대부분에는 사용자나 작업 공간 정보가 붙어 있지 않지만, 대화 내용 자체에 신원을 알 수 있는 정보나 민감한 정보가 들어 있을 수 있으며 Reddit 이용자들도 이 점을 지적했습니다(The Register에 따름). Notion은 영향받은 작업 공간이 해당 데이터를 확인할 수 있게 했고, AI 대화에 비밀번호나 API 키 같은 기밀을 입력한 사용자에게 서둘러 바꾸라고 권고했습니다.

The Register가 전한 Bloomberg 보도에 따르면 Fireworks는 Cursor, Harvey 등 다른 고객과도 영향을 평가하고 있습니다. 이 평가 결과는 기사 작성 시점에는 알려지지 않았습니다.

한국 기업에 어떤 의미인가

Notion AI나 외부 위탁업체가 호스팅하는 모델에 의존하는 도구를 쓰는 한국 기업에게 이번 교훈은 구체적입니다. AI와 나눈 대화가 이름조차 모르는 하위 사업자를 거칠 수 있다는 점입니다. 사용 중인 소프트웨어 공급업체에 AI 관련 재위탁업체 목록과 데이터 보관 정책을 요구하고, 특히 기본값이 데이터 비보관인지 확인하세요.

당장 할 일은 세 가지입니다. 귀사의 작업 공간이 Notion의 통지를 받았는지 확인하고, AI 채팅에 붙여 넣은 API 키와 비밀번호를 모두 교체하며, 개인정보 담당자와 함께 그 대화에 개인정보가 있었는지 평가해 내부 후속 조치를 정하는 것입니다. 장기적으로는 사후 삭제에 기대기보다 기밀과 개인정보를 AI 대화에 붙여 넣지 않는다는 분명한 규칙을 두는 편이 더 확실합니다.