Notion Workers, Vercel Sandbox를 활용해 신뢰할 수 없는 코드를 대규모로 실행하는 방법

Notion Workers는 사용자가 외부 데이터를 동기화하거나 자동화를 트리거할 수 있도록 커스텀 코드를 실행하는 기능을 제공한다. 하지만 제3자 개발자나 에이전트가 생성한 임의의 코드를 실행하는 것은 심각한 보안 문제를 야기할 수 있다. 특히 프롬프트 인젝션 등을 통해 자격 증명이 유출되거나 다른 사용자의 데이터에 접근할 위험이 존재한다.

이를 해결하기 위해 Notion은 Vercel Sandbox를 도입했다. 각 Worker는 Firecracker microVM에서 실행되며, 컨테이너보다 강력한 격리 수준을 제공한다. 모든 실행은 고유한 커널, 파일 시스템, 네트워크 스택을 가지며, 실행이 끝나면 microVM이 파괴되거나 스냅샷으로 저장된다.

Vercel Sandbox는 대규모 워크로드를 지원하기 위해 다음과 같은 핵심 기능을 제공한다:

• 자격 증명 주입(Credential injection): 방화벽 프록시가 네트워크 레벨에서 API 키를 주입하여, 코드가 실행 환경에 직접 접근하지 않고도 외부 서비스와 통신할 수 있게 한다.
• 네트워크 정책(Network policies): 런타임 중에 동적으로 네트워크 정책을 업데이트할 수 있어, 의존성 설치 시에는 인터넷을 허용하고 실행 시에는 외부 통신을 차단하는 등의 제어가 가능하다.
• 스냅샷(Snapshots): 파일 시스템 상태를 스냅샷으로 저장하고 복구하여 빠른 콜드 스타트(Cold start)를 지원한다.