미국 인공지능 기업 앤트로픽의 생성형 AI 서비스 ‘클로드’를 이용하는 국내 기업 계정 중 일부에서 개인정보 유출 신고가 접수되어 관계 당국이 확인에 나섰습니다. 생성형 AI가 기업 업무 전반으로 확산되는 가운데 발생한 보안 사고인 만큼, 관련 동향과 당국의 대응 방향에 관심이 모아지고 있습니다.
이번 사건은 지난달 말 앤트로픽 측이 개인정보보호위원회에 직접 신고하면서 알려졌습니다. 현재 당국은 사전 검토 단계를 거치며 정식 조사 착수 여부를 검토하고 있습니다.
개인정보보호위원회 신고 접수와 사전 검토 진행 상황
보도에 따르면 앤트로픽은 지난달 31일 국내 기업용 계정 100여 개의 정보가 외부로 유출되었다는 사실을 개인정보보호위원회에 신고했습니다. 개인정보위는 현재 해당 사안을 사전 검토하는 단계에 있으며, 아직 정식 조사에는 착수하지 않은 상태입니다.
외국 기업의 경우 국내 사업자와 달리 조사 착수 전에 자료를 요청하는 절차를 거쳐야 하므로, 사전 검토와 조사 여부 결정에 다소 시간이 소요될 수 있습니다. 당국은 정식 조사가 시작되면 추가 조사를 통해 구체적인 피해 규모와 경위를 면밀히 확인할 방침입니다.
외부 보안 업체 취약점 악용으로 발생한 내부 시스템 접근
이번 개인정보 유출은 외부 보안 업체가 제3자 소프트웨어의 취약점을 이용해 앤트로픽 내부 시스템에 무단으로 접근하면서 발생한 것으로 파악됩니다. 외신 보도에 따르면 미국 보안 스타트업이 외부 업무용 소프트웨어의 취약점을 이용해 내부 시스템에 접근한 것으로 전해졌습니다.
이 과정에서 노출됐을 가능성이 있는 정보는 기업용 클로드 계정 및 조직 식별번호, 이름, 이메일 주소 등의 업무 연락처입니다. 다만 프롬프트 내용이나 AI가 생성한 결과물, 결제 정보 등은 이번 접근 범위에 포함되지 않은 것으로 알려졌습니다.
앤트로픽 측의 대응과 향후 보안 체계 개선 계획
앤트로픽 측은 사안을 인지한 당일 곧바로 영향을 받은 시스템을 차단하고, 공급업체와 긴밀히 협력해 취약점을 해결했다고 밝혔습니다. 일부 고객사에는 관련 안내문을 전송해 상황을 공유했습니다.
회사 관계자는 제3자 소프트웨어 보안과 모니터링 체계를 지속적으로 개선해 나갈 예정이며 아직 보완해야 할 점이 남아있음을 인지하고 있다고 설명했습니다. 기업 환경에서 생성형 AI 의존도가 높아지는 가운데, 외부 공급망을 통한 보안 리스크 관리의 중요성이 다시 한번 대두되고 있습니다.
이번 사안은 기업용 AI 서비스 이용 시 발생할 수 있는 잠재적 보안 취약점을 보여주는 사례입니다. 향후 개인정보위의 조사 진행 상황에 따라 추가적인 구체적 피해 규모나 보완 대책이 드러날 것으로 보입니다.