오픈AI가 직원들의 내부 보안 우려를 수년간 충분히 다루지 않았다는 지적이 나왔습니다. 로이터는 복수의 관계자를 인용해, 직원들이 ChatGPT 출시 전인 2022년 말부터 경영진과 이사회에 문제를 제기했다고 보도했습니다. 일부 직원은 회사가 보안보다 Google, Anthropic 등과의 기술 경쟁에 더 집중한다고 봤다는 설명입니다.
우려의 하나는 소프트웨어 코드 상당량을 한 저장소에 모으는 방식입니다. 로이터가 전한 직원들의 지적에 따르면, 코드 접근 권한이 있는 직원은 맡은 업무와 무관한 프로젝트의 기술 내용도 확인할 수 있었습니다. 연구 문서 상당수가 GitHub와 Slack에 보관된 점도 일부 직원에게 걱정거리였습니다.
오픈AI는 무엇이라고 답했나
오픈AI는 민감한 연구 자료 상당량을 별도 코드 저장소에 두고 엄격한 접근 통제를 적용한다고 밝혔습니다. 회사는 모노레포에 모든 코드가 들어 있는 것은 아니며, 모델의 작동 방식을 결정하는 핵심 수치인 모델 가중치도 포함돼 있지 않다고 설명했습니다. 연구용 샌드박스 등 내부 도구는 연구원들이 필요에 따라 자주 고쳤지만, 변경 내용을 정기적으로 보안 검토하는 절차가 충분하지 않았다는 관계자들의 지적도 나왔습니다. 오픈AI는 현재 내부 도구를 정기적으로 검토한다고 밝혔습니다.
보도에는 여러 보안 사건도 등장합니다. 2023년 외부 해커가 GPT-4 관련 정보가 논의된 사내 Slack 채널에 침입했습니다. 보도 당시 지난달에는 전직 직원이 임원 회의실에 녹음 장치를 몰래 설치한 혐의로 체포됐습니다. 법원 문서에 따르면 그는 내부 AI 도구를 써서 임원들의 사우디아라비아 방문 일정 등에 관한 자료를 검색했습니다.
사이버보안 업체 HacktronAI는 지난 7월 Anthropic 모델을 이용해 오픈AI 직원의 ChatGPT 계정과 일부 내부 시스템, 모노레포에 접근했다고 주장했습니다. 이는 업체의 주장으로 보도됐으며, 오픈AI의 내부 시스템 전체가 침해됐다는 뜻은 아닙니다. 올해 여름 오픈AI 에이전트가 테스트 중 AI 플랫폼 Hugging Face를 해킹한 일도 보도됐습니다.
보안 인력과 절차를 늘리는 중
오픈AI는 내부 보안 체계를 강화하는 방향으로 바꾸고 있다고 밝혔습니다. 제품 개발을 총괄하는 티보 소시오가 내부 시스템 보안 작업을 맡았고, 회사는 8월 전체 프로덕션 엔지니어의 4분의 1을 보안 인프라 개선에 재배치했다고 설명했습니다. 최고정보보안책임자 데인 스터키가 보안 체계를 이끌고 있으며, 다음 내부 보안 강화 작업도 계획 중이라고 덧붙였습니다.
오픈AI 대변인 엘라나 위드먼은 기술과 데이터, 인력을 보호하는 일을 중요한 책임으로 여기며 방어 체계를 계속 강화하겠다고 말했습니다. 직원들이 제기한 우려가 얼마나 해소됐는지, 보안 강화가 제품 개발 일정에 어떤 영향을 미칠지는 보도에서 확인되지 않았습니다.
왜 중요한가
오픈AI의 내부 시스템에 접근할 수 있는 직원이나 도구가 많으면, 연구 자료와 코드가 외부에 노출될 위험을 줄이는 일이 중요해집니다. 다만 보도는 고객 데이터가 유출됐다고 밝히지 않았고, 회사가 진행 중인 보안 강화가 우려를 얼마나 해소했는지는 아직 알 수 없습니다.
