파이어웍스 AI 해킹 두 번째 공개 — 노션 AI 대화 기록 노출, 워크스페이스 1% 미만

한 달 전 "고객 모델과 데이터에 접근한 증거는 없다"던 회사가, 청구 기록과 데이터셋과 모델 가중치가 접근됐다고 공지를 고쳤다. AI 추론 플랫폼 파이어웍스 AI(Fireworks AI)는 2026년 11월 9일(미국 시각) 10월 보안 사고 공지의 후속판을 내고 고객에게 통지했다. 새로 드러난 것은 두 번째 침입 경로다. 파이어웍스의 연구개발(R&D) 장비를 호스팅하던 외부 클라우드 업체가 10월 23일 뚫렸고, 침입자는 그 접근 권한으로 10월 24일 파이어웍스 개발 장비에 들어와 허가받지 않은 작업을 돌렸다.

파이어웍스는 오픈 모델을 대신 돌려 주고 미세조정해 주는 회사다. 고객은 1만 곳이 넘는다(회사 웹사이트 기준, 블룸버그 인용). 그 고객 가운데 하나인 노션(Notion)이 같은 사고로 노션 AI 대화 기록 일부가 노출됐을 수 있다고 알리면서, 사고는 파이어웍스를 직접 쓰지 않는 일반 사용자에게까지 번졌다. 노션이 밝힌 영향 범위는 워크스페이스의 1% 미만이다.

1. 무엇이 새어 나갔나 — 10월 9일 공지와 11월 9일 공지의 차이

첫 사고는 10월 6일 탐지됐다. 누군가 파이어웍스 내부 자격 증명을 무단으로 써서 일부 고객 계정의 평가(evaluation) 작업에 들어 있던 환경 변수를 읽었다. 환경 변수에는 고객이 시크릿으로 저장해 둔 API 키와 토큰이 있었다. 10월 9일 공지에서 파이어웍스는 고객 모델, 데이터셋, 학습 데이터, 개인정보, 추론 트래픽에 무단 접근한 증거는 찾지 못했다고 밝혔다.

11월 9일 후속 공지는 그 범위를 넓혔다. 조사를 이어 가다 계정·청구 정보에 영향이 있었고, 일부 계정은 시크릿과 데이터셋, 미완성 모델까지 접근됐음을 확인했다는 것이다.

카드번호가 빠진 이유는 파이어웍스가 애초에 카드번호를 저장하지 않기 때문이다. 추론 서비스와 Training SDK, Nexus는 프롬프트와 출력을 남기지 않는 무보관(ZDR)이 기본값이라 영향이 탐지되지 않았다고 회사는 설명했다. 다만 공지는 조사가 진행 중이며 더 나올 수 있다고 덧붙였다.

모델 가중치가 포함됐다는 점은 고객에게 민감하다. 미세조정한 가중치는 그 회사의 데이터와 비용이 들어간 결과물이기 때문이다. 더 레지스터에 따르면 린 차오 파이어웍스 공동창업자 겸 최고경영자(CEO)는 가중치가 도난당했다는 우려에 "우리가 본 바로는 공격자가 가중치를 노린 것이 아니다", "내려받기는 대부분 일부만 진행되다 멈췄다"고 답했다. 영향받은 계정이 몇 곳인지는 두 공지 어디에도 없다.

2. 시간표 — 탐지부터 노션 통지까지 33일

파이어웍스 공지 두 건과 노션 공지를 한 줄로 이으면 이렇다. 날짜는 모두 미국 시각이다.

파이어웍스는 이번 활동을 금전 목적의 사이버 범죄 조직과 연결 짓는 증거가 있다고 밝혔다. 공지는 이 조직의 목적을 대형언어모델에 무단 접근해 얻은 토큰을 불법 라우팅 게이트웨이에 파는 것이라고 설명하고, 이를 LLMjacking이라고 불렀다.

LLMjacking은 남의 컴퓨터로 가상화폐를 캐던 크립토재킹의 AI 판이다. 공격자는 모델을 돌릴 수 있는 권한, 즉 API 키나 토큰이나 컴퓨팅 자원을 훔친다. 그 권한으로 생성한 사용량을 정가보다 싸게 되팔고, 요금은 원래 주인 계정에 청구된다. 추론 플랫폼은 수많은 고객의 키와 대량의 GPU를 한곳에 쥐고 있어 이런 조직에게 값진 표적이다. 파이어웍스 공지에 따르면 구글 위협 인텔리전스 그룹과 맨디언트가 11월 2일 LLMjacking을 다룬 글을 냈다. 다만 블룸버그는 범죄 조직과의 연결이 10월 초 사고에 관한 것이며, 10월 24일 침입을 누가 했는지는 회사가 밝히지 않았다고 전했다.

대응으로 파이어웍스는 자격 증명과 서비스 계정을 폐기·교체하고, 불필요한 상위 권한을 없애고, 영향받은 시스템을 네트워크에서 격리했다. 배치 추론과 데이터셋 기반 학습에 쓰는 셀프서비스 데이터셋 업로드·다운로드는 조사 기간 동안 꺼 두었다. 포렌식은 팔로알토 네트웍스의 Unit 42가 돕고 있고 수사기관에도 신고했다.

3. 노션 AI에 붙여 넣은 비밀번호·키, 누가 바꿔야 하나

노션은 파이어웍스를 분류 작업과 범용 추론 제공자로 썼다고 밝혔다. 노출 가능성이 있는 것은 인사이트(Insights) 기능에 쓰던 노션 AI 대화 기록 일부다. 인사이트는 고객이 자기 조직의 AI 사용 현황을 파악하도록 돕는 기능이다.

노션의 표현은 '귀속 불가(unattributable)'다. 대화 기록에 누가 썼는지, 어느 워크스페이스에서 나왔는지를 알려 주는 표시가 붙어 있지 않았다는 뜻이다. 노션 AI가 페이지나 외부 데이터를 불러온 도구 호출 결과도 들어 있지 않았다. 워크스페이스의 다른 데이터는 영향이 없다고 노션은 밝혔다.

여기서 주의할 점이 하나 있다. 표시가 없다는 것과 내용에 단서가 없다는 것은 다르다. 대화 본문에 이름, 회사명, 비밀번호를 직접 적었다면 그 글자는 그대로 남아 있다. 더 레지스터는 레딧 이용자들이 같은 점을 지적했다고 전했다. 노션이 비밀번호와 키 교체를 권고한 이유도 여기에 있다.

노션 공지 범위 안에서 정리한 행동 기준은 다음과 같다.

교체 대상은 노션 계정 비밀번호가 아니다. 노션 AI 대화창에 붙여 넣은 다른 서비스의 비밀번호와 키다. 예컨대 오류 로그를 요약해 달라며 데이터베이스 접속 문자열을 그대로 붙였거나, 스크립트를 고쳐 달라며 API 키가 박힌 코드를 넣은 경우다. 노션은 이미 11월 3일 파이어웍스와의 연결을 끊고 그쪽에 둔 데이터를 지웠으며, 인사이트 기능을 조사 기간 동안 껐고 파이어웍스를 통한 오픈 가중치 모델 제공도 멈췄다.

파이어웍스를 직접 쓰는 개발팀이라면 1차 공지의 권고가 여전히 유효하다. 폐기된 파이어웍스 API 키를 새로 발급하고, 통지서에 적힌 제3자 자격 증명은 발급처에서 직접 교체하고, 모르는 API 키·사용자·평가기·학습 작업·데이터셋이 생겼는지 살핀다. 파이어웍스에 저장한 시크릿을 지우는 것만으로는 원래 키가 무효가 되지 않는다. 키를 훔쳐 무엇을 하는지는 「API 키 도용이란 — 훔친 AI 키로 해킹 도구를 돌리고 요금은 키 주인이 낸다」에 정리했다.

4. 남은 것 — 영향 고객 수, 클라우드 업체 이름, 그리고 투자 유치

사고 시점은 회사에 좋지 않다. 파이어웍스는 2026년 7월 기업가치 175억 달러로 평가받았고, 새 투자 유치를 논의하고 있다. 디 인포메이션은 300억 달러 이상, 블룸버그는 300억~400억 달러 기업가치를 전했다. 엔비디아와 AMD가 투자자다. 디 인포메이션을 인용한 보도에 따르면 연간 수백만 달러를 쓰는 일부 고객이 다른 업체로 옮기는 방안을 검토하고 있다.

추론 플랫폼과 그 주변 도구가 뚫린 사고는 10월 이후 이어지고 있다. 「오픈코드 API 키 유출 — 콘솔 사용자 1.4%, 폐기 예정이던 옛 시스템이 뚫렸다」와 「LiteLLM 1.107.0 악성 버전 확인법 — 136일 방치된 마스터 키 하나가 배포 파이프라인을 열었다」가 같은 흐름이다. 세 사고에는 공통점이 있다. 운영 서비스 본체가 아니라 평가 작업, 폐기 예정 시스템, 외부에 맡긴 개발 장비처럼 주변부가 먼저 열렸고, 거기에 고객의 키가 놓여 있었다.