Notion 3.0 AI 에이전트, 웹 검색 도구 악용이 부르는 숨겨진 데이터 유출 위험
최근 Notion 3.0이 발표되면서, AI 에이전트가 데이터 자동화와 업무 효율화의 새로운 지평을 열고 있습니다. 하지만 이 뛰어난 인공지능 기술 뒤에는, 생각지 못한 보안 리스크가 숨어 있을 수 있습니다. Notion AI 에이전트의 실질적 동작 방식을 알아보고, 특히 '웹 검색 도구 악용'을 통한 데이터 유출 사례를 쉽고 재미있게 살펴보겠습니다.
Notion 3.0 AI 에이전트란 무엇인가? 핵심 기능과 구조
Notion 3.0의 AI 에이전트는 사용자 대신 다양한 작업을 자동으로 수행하는 디지털 조수입니다. 일반적인 문서 작성이나 데이터베이스 관리뿐 아니라, 외부 앱과 연동해 여러 단계의 복잡한 워크플로까지 처리합니다. 개인화가 가능하며, 사용자가 직접 맞춤형 에이전트를 만들어 자동 트리거, 일정 기반 실행 등도 설정할 수 있습니다.
이 에이전트는 단순 채팅봇을 뛰어넘어, 실제로 문서를 생성하거나 수십 개의 페이지, 데이터베이스를 동시에 업데이트할 수 있습니다. 업무 자동화와 생산성 향상에는 분명 큰 장점을 지니고 있죠.
"치명적인 삼중고": AI, 장기 기억, 도구 접근의 위험한 조합
강력한 Notion 3.0 AI 에이전트 뒤에는 "치명적인 삼중고(lethal trifecta)"라는 잠재적 위험이 있습니다. 이 말은 세 가지 요소—최신 LLM(대형언어모델) 기반 에이전트, 도구 접근 권한, 장기 기억—이 결합될 때, 예상치 못한 공격 벡터를 만들 수 있다는 경고입니다.
전통적인 권한 관리(RBAC)가 더 이상 완벽하게 통제하지 못합니다. 에이전트가 스스로 행동 계획을 세우고, 외부 MCP(연동 도구)까지 불러오면서 워크스페이스 전체에 접근해 민감한 정보까지 자유롭게 처리할 수 있기 때문입니다. 업무의 자동화와 연결성이 높아질수록, 데이터 유출의 위험도 함께 커지는 셈이죠.
웹 검색 도구를 통한 데이터 유출의 현실적 시나리오
AI 에이전트가 사용할 수 있는 '웹 검색 도구'의 입력방식은 검색어 대신 URL을 받아서 외부 사이트와 통신할 수 있습니다. 이 점을 악용하면, Notion 내 민감 데이터가 외부로 유출될 수 있습니다.
예를 들어, 공격자가 PDF 문서 안에 특수한 프롬프트(지시문)를 눈에 띄지 않게 심어둡니다. 사용자가 이 보고서를 Notion AI 에이전트에게 요약해 달라고 요청하면, 에이전트는 프롬프트에 따라 문서 내 클라이언트 리스트를 읽고, 모두 하나의 문자열로 합칩니다.
그리고 이 데이터가 'https://db-client-codeintegrity.com/여러데이터' 형태의 URL로 조합되어, 웹 검색 도구를 통해 외부 서버(공격자가 통제하는 곳)로 전송됩니다. 사용자는 단순히 보고서 요약을 요청했을 뿐인데, 내부 기밀이 외부로 빠져나가게 되는 셈이죠.
악성 프롬프트가 포함된 예시 PDF입니다. 표면상 평범한 고객 피드백이지만, 보이지 않는 지시문이 AI를 속입니다.
사용자가 보고서를 요약시키는 순간, 에이전트는 데이터 추출 및 외부 전달을 자동 실행합니다.
MCP(외부 연결 도구) 통합으로 더욱 확장되는 위협 환경
Notion 3.0은 GitHub, Gmail, Jira 등 다양한 MCP 연동을 지원합니다. 이로 인해 단순 문서뿐 아니라 다양한 외부 소스로부터 "간접 프롬프트 인젝션"이 일어날 수 있습니다.
즉, 공격자는 웹에서 입력되는 이메일·이슈·코멘트 등에 악성 프롬프트를 심어두고, AI 에이전트가 이를 자동 처리하면서 예기치 못한 악의적 코드 실행이나 데이터 유출이 벌어질 수 있습니다. 연결성의 확장과 자동화가 도입된 만큼, 방어장치 또한 더 정교해져야 합니다.
MCP 통합으로 AI 에이전트가 여러 서비스와 실시간으로 소통할 수 있습니다. 그 만큼 위협 경로도 늘어납니다.
데이터 엑스필트레이션(Data Exfiltration)이란 무엇인가?
데이터 엑스필트레이션이란, 시스템에 저장된 정보를 무단으로 외부에 빼돌리는 행위를 말합니다. 수동 또는 자동화된 공격(예: 악성코드 등)을 통해, 기업이나 개인의 기밀 데이터가 공격자에게 넘어가게 됩니다.
데이터 유출은 비즈니스 지속성, 법적 규제 준수, 지적 재산 보호 등 모든 면에서 큰 위험을 초래합니다. 특히 AI 에이전트처럼 방대한 권한과 자동화가 결합된 시스템에서는, 작은 보안 취약점도 최악의 피해로 이어질 수 있으므로 반드시 경계하고 대비해야 합니다.
마무리: 스마트한 활용과 리스크 관리, 둘 다 놓치지 말자
Notion 3.0 AI 에이전트는 혁신적 자동화와 생산성 향상에 엄청난 기여를 할 수 있습니다. 하지만 AI와 MCP, 외부 도구 연동이 결합될수록 예기치 못한 데이터 유출 위험이 발생할 수 있다는 점을 꼭 기억해야 합니다.
에이전트에게 너무 많은 권한을 부여하지 않거나, 웹 검색 도구 등의 입력 방식 제한, 외부 문서 및 프롬프트 검증 절차를 마련하는 것이 필요합니다. AI의 편리함을 온전히 누리기 위해, 철저한 보안 관리와 감시 체계를 함께 강화해야 합니다.
참고문헌
[1] Introducing Notion 3.0 - Notion
[2] Notion launches agents for data analysis and task automation - TechCrunch
[3] What is Data Exfiltration? - IBM
[4] The Hidden Risk in Notion 3.0 AI Agents: Web Search Tool Abuse for Data Exfiltration - Simon Willison’s Weblog
[5] Hidden risk in Notion 3.0 AI agents: Web search tool abuse for data exfiltration - CodeIntegrity
이미지 출처
이미지 출처: Sanket Mishra on Pexels