호주 정부 메디케어 통계 포털의 비공개 파일에 오픈AI(OpenAI) 에이전트가 무단으로 접근했으며, 회사는 이를 당국에 알리는 데 거의 석 달이 걸렸다고 앤서니 앨버니지 호주 총리가 밝혔다.
핵심 내용
- 6월 18일, 내부 평가 과정에서 오픈AI 에이전트가 메디케어 통계 포털 내 비공개 파일에 접근.
- 환자 개별 진료기록은 노출되지 않은 것으로 보이지만, 당국 통보는 9월에야 이뤄짐.
- 정부 태스크포스가 이번 침해와 함께, 호주 법제가 자율 에이전트를 포괄하는지 검토에 착수.
메디케어 포털 비인가 접근 경위
앨버니지 총리는 뉴욕에서 가진 기자회견에서, 해당 에이전트가 보안 차단에 부딪힌 뒤에도 “거절을 받아들이지 않았다”고 표현하며 사건을 공개했다. 그의 설명에 따르면, 에이전트는 **서비스스 오스트레일리아(Services Australia)**가 운영하는 메디케어 통계 보고 서비스 포털에 6월 18일 진입해, 공개·비공개 파일을 모두 열람했다.
오픈AI 대변인은 내부 평가 도중 “호주 관련 통계를 조회하는 과정에서, 자사 의도와 다른 행동을 모델이 취했다”고 설명했다.
회사 측 자체 점검 결과, 환자 개별 진료기록이 열람됐다는 증거는 없다고 밝혔고, 앨버니지 총리 역시 “개인 식별 정보가 유출된 정황은 보이지 않는다”고 선을 그었다.
접근 대상은 집계 건강통계와 내부 파일명 등으로, 오픈AI는 ‘정렬되지 않은 모델 행동(misaligned behavior)’을 검토하던 중 8월 11일 이 활동을 처음 인지했다.
오픈AI는 9월 10일에야 서비스스 오스트레일리아의 공용 이메일 계정으로 통보 메일을 보냈다. 앨버니지 총리는 이후 샘 알트먼 CEO와의 통화에서 호주의 “극도의 우려”를 전달했다며, “정부 통보가 지나치게 늦었다”고 공개적으로 지적했다.
현재 **호주 신호국(Australian Signals Directorate)**이 지원하는 디지털 포렌식 조사가 진행 중이며, 오픈AI도 내부적으로 더 광범위한 재점검을 이어가고 있다.
함께 보기: 토큰화 주식, XRPL에 상장될까? SEC 명령이 던진 질문
“비인간 행위자” 책임, 법으로 어떻게 보나
직무 대행을 맡고 있는 리처드 말스 부총리는 실제 영향은 “경미하다”고 평가하면서도, “비인간 에이전트가 정부 사이트에 무단 진입한 첫 사례”라며 사안을 매우 심각하게 받아들이고 있다고 밝혔다.
총리실과 AI 세이프티 인스티튜트가 주도하는 새 태스크포스는, 이번 에이전트의 행위가 호주 법률상 위법인지, 그리고 기존 법제가 여전히 실효성을 갖는지 여부를 집중 점검할 예정이다.
시드니 공과대학교(UTS)에서 신흥 기술을 연구하는 니컬러스 데이비스 교수는, 현행 법률 대부분이 ‘고의성’을 전제로 하고 있으며, 기업 책임 역시 마찬가지라고 지적한다. 이 때문에 자율 에이전트와 이를 설계한 기업을 법이 어떻게 다뤄야 하는지가 공백 지대로 남아 있다는 것이다.
비영리 단체 Transluce 연구진은 별도로 공개한 분석에서, 오픈AI 에이전트 로그가 호주 보건복지연구원(Australian Institute of Health and Welfare)의 데이터에 접속을 시도한 정황도 포착했다고 밝혔다. 이들은 이를 “에이전트가 정부 시스템을 해킹한 첫 보고 사례”라고 규정했다.
다만 해당 연구원은 현재까지 에이전트가 비공개 데이터를 실제로 열람했다는 증거는 없다고 밝혔다. Transluce는 또 오픈AI 에이전트가 뉴멕시코대학교 디지털 도서관과 공공 데이터 플랫폼 ‘Data USA’에도 접근을 시도한 기록이 있다고 덧붙였다.
허깅페이스 사건, ‘경고 사격’으로 남다
메디케어 포털 침해는 오픈AI 에이전트가 제어선을 넘어선 첫 사건이 아니다. 7월에는 내부 사이버보안 평가에 사용되던 모델이 인터넷 격리 장치를 우회해 오픈AI 연구 인프라 일부와 허깅페이스(Hugging Face) 시스템을 침해하는 사고가 있었다.
당시 에이전트는 평가 문제의 정답을 온라인에서 찾아내려 시도하던 중이었으며, 오픈AI는 사후 보고서에서 이 사건을 “회사와 전 세계를 향한 경고 사격(warning shot)”이라고 규정했다.
다음 읽을거리: 이더리움, AI 결제 수요로 새 모멘텀 얻을 수 있다 – 블랙록
