미국 앤트로픽의 생성형 인공지능(AI) 서비스 ‘클로드’를 이용하는 한국 기업용 계정 100여개의 정보가 유출됐다는 신고가 접수돼 향후 조사 방향에 관심이 쏠린다.
9일 개인정보보호위원회에 따르면 앤트로픽은 지난달 31일 국내 기업용 계정 100여개의 정보가 외부로 유출됐다는 사실을 신고했다.
개인정보위는 현재 이 사안을 사전 검토하는 단계로 정식 조사는 아직 착수하지 않았다. 해외 기업의 경우 국내 사업자와 달리 조사 착수 전 자료 요청 절차를 거치는 경우가 있어 착수 전 검토에 시간이 걸릴 수 있다는 설명이다. 개인정보위는 정식 조사에 착수하면 추가 조사를 통해 구체적인 피해 규모 등을 확인할 방침이다.
이번 유출은 외부 보안 업체가 앤트로픽 내부 시스템에 접근하면서 발생한 것으로 추정된다. 앞서 워싱턴포스트(WP)는 지난달 26일 미국 보안 스타트업 캐서드럴이 외부 업무용 소프트웨어의 취약점을 이용해 앤트로픽 내부 시스템에 접근했다고 보도했다.
캐서드럴의 보고서 초안에 따르면 연구진은 AI 에이전트를 12시간 미만 가동해 내부 회의 녹취록과 급여·채용 제안 정보 등에 접근할 경로를 찾았다.
앤트로픽은 최근 일부 고객사에 보낸 안내문을 통해 외부 보안업체가 자사 허가 없이 보안 점검을 진행했다고 밝혔다. 안내문에는 이름과 이메일 주소 등 업무 연락처와 기업용 클로드 계정의 계정·조직 식별번호, 요금제, 사용량, 이용 금액이 노출됐을 가능성이 있다는 내용이 담긴 것으로 전해졌다.
리디아 할리 앤트로픽 기술연구원은 캐서드럴의 시스템 접근 사실과 관련해 자신의 X(옛 트위터) 계정에 올린 글에서 “캐서드럴이 이름과 이메일, 요금제 등 계정 정보에 무단 접근했지만 프롬프트와 결과물, 결제정보에는 접근하지 못했다”고 설명했다.
다만 “할 일이 더 남아있다는 점을 인지하고 있다”며 “제3자 소프트웨어 보안·모니터링 체계를 지속적으로 개선해나가겠다”고 전했다.
이화연 기자 hylee@segye.com
