오픈AI가 전 DOGE 출신 보안사 Cathedral Systems를 고용했어요. 같은 날 로이터는 출시 전부터 이어진 내부 보안 경고를 보도했어요. 12억 사용자 시대에 보안 신뢰가 새 시험대에 올랐어요.
솔직히 오늘 AI 뉴스 중에서 제일 찜찜한 건 오픈AI 보안 얘기예요 🔥 하루에 두 가지가 한꺼번에 나왔거든요.
먼저 고용 소식이에요. 오픈AI가 Cathedral Systems라는 회사를 영입했어요. 전직 DOGE 직원들이 만든 곳인데, 이 회사는 앞서 버그 바운티 테스트 중에 앤스로픽 내부 시스템 일부에 접근한 적이 있다고 해요. 앤스로픽은 테스트가 진행된 방식에는 이견을 보였지만, 모델 가중치와 Claude 대화 내용은 영향이 없었다고 밝혔다고 하네요. 오픈AI는 이 회사가 오픈AI 모델을 써서 오픈AI 자신의 방어를 찔러보게 하겠다는 구상이고, 버그 바운티 보상도 올렸어요.
근데 같은 날 로이터가 더 무거운 기사를 냈어요. 취재원 5명에 따르면 2022년 ChatGPT 출시 전부터 직원들이 "민감한 데이터에 너무 많은 사람이 접근할 수 있다"고 경고했다는 거예요. 한 엔지니어가 10월에 경영진 회의실에 녹음 장치를 설치했다는 의혹을 받았다는 내용도 있어요. 오픈AI는 보안을 소홀히 했다는 주장은 반박했고요. 이전 보안 스프린트에는 제품 엔지니어의 25%가 투입됐다고 하니, 손 놓고 있었다고 보기도 어렵긴 해요 🤔
숫자도 눈여겨볼 만해요. 오픈AI 쪽 발표로는 ChatGPT 주간 사용자가 12억 명이에요. 12억 명이 쓰는 서비스에서 내부 데이터 접근 통제가 느슨했다는 보도는 그냥 흘려보내기 어렵죠.
제 생각엔 이번 일의 포인트는 '공격자를 직접 고용해 방어를 시험한다'는 접근 자체보다, 그 타이밍이에요. 폭로 기사와 같은 날 나온 영입 발표는 우연일 수도 있지만, 보안을 강하게 챙기겠다는 신호로 읽히기도 해요. 반대로 외부 인력에게 깊은 접근 권한을 주는 게 새 위험이 될 수도 있고요.
사실 이건 오픈AI만의 문제가 아니에요. 같은 날 애플도 연간 보고서에서 자율 에이전트가 승인 없는 결제나 보안 우회를 할 수 있다고 경고했거든요. AI가 앞서 달릴수록 방어는 늘 한 발 늦게 따라가는 느낌이에요 ⚠️
그래서 궁금해지는 게 있어요. 이 정도 규모의 회사가 보안을 '사고 후 보강'이 아니라 '설계 단계부터' 가져가는 건 가능할까요? 아니면 속도 경쟁 속에서는 늘 이런 뉴