“서버는 해킹·회의실은 도청 위협” 오픈AI 사건 파장, 기업 내부 통제 시험대

오픈AI 직원 도청 혐의에 내부 보안 경고등
회의 대화도 AI로 분석 땐 개발·사업 전략 노출 우려
정보 접근·반출 감시할 보안 투자 필요성 부각

오픈AI 직원의 임원 회의실 도청 혐의가 드러나면서 기술기업의 내부자 보안 문제가 도마에 올랐다. 내부 직원이 회의 공간에 접근해 경영진의 대화를 수집하려 한 정황이 드러남에 따라, 직원 검증과 기밀 접근 권한 설정 이후에도 보안 공백이 생길 수 있다는 우려가 커지고 있다. 특히 무단으로 확보한 녹음에 인공지능(AI) 분석 기술을 적용하면 여러 회의에 흩어진 발언을 연결해 개발 계획과 사업 전략을 파악할 수 있어 유출 피해가 확대될 여지도 있다. 이 같은 위험은 직원의 정보 접근과 반출 행위를 상시 점검할 필요성을 높이며, 기업의 모니터링 투자 확대를 뒷받침하는 요인으로 작용할 전망이다.

오픈AI 엔지니어, 임원 회의실 도청 혐의로 기소

13일(이하 현지시간) 블룸버그통신 등 외신에 따르면 미국 법무부는 지난 9일 오픈AI 엔지니어인 사우디아라비아 국적의 압둘라흐만 알포잔(35)을 체포해 기소했다고 발표했다. 알포잔은 지난달 28일께 캘리포니아주 샌프란시스코의 오픈AI 사옥 내 임원 회의실에 녹음장치를 설치한 혐의를 받고 있다. 직원들이 같은 달 30일께 발견한 장치는 텔레비전 뒷면 USB 포트에 꽂혀 있었으며, 화장지로 감춰진 채 저장 내용이 암호화돼 있었다. 해당 회의실은 비공개 연구와 제품 개발 계획, 정부·기업과의 협력 등 기밀 사안을 논의하는 공간이다. 지난해 7월 입사한 알포잔에게는 이곳에 출입하거나 회의에 참석할 권한이 없었던 것으로 조사됐다.

미 수사 당국은 알포잔이 장치 설치에 앞서 회의실 위치와 일정 등을 알아본 정황도 확보했다. 법원에 공개된 형사 고발장을 보면, 그는 업무용 도구로 임원들의 근무 위치와 외부 협력사 회의 정보를 여러 차례 조회했다. 그의 계정과 일부 식별정보가 겹치는 배우자 명의의 챗봇 계정에서는 녹음장치 제작과 은폐, 원격 접속, 저장장치 암호화 방법 등을 묻는 기록도 나왔다. 또한 사내 CCTV에는 알포잔이 장치 발견 전 여러 차례 회의실 주변에 나타나는가 하면, 이달 5일에는 회의실에 들어가 텔레비전 뒤편을 살펴보는 듯한 모습도 담겼다. 같은 날 보안 직원들이 다른 방에 놓여 있던 그의 가방을 확인한 결과, 지갑·신분증과 함께 유사한 녹음장치가 추가로 발견됐다.

회의실 대화까지 번진 기밀 유출 위험

이번 사건은 기업의 기밀 보호 체계에서 회의실이 차지하는 중요성을 부각한 것으로 평가된다. 경영진의 대화에는 문서로 정리되기 전의 사업 구상과 기술적 한계, 협상 상대방에게 공개하지 않은 내부 판단이 담기기 때문이다. 오픈AI도 해당 회의실에서 연구 성과와 제품 계획, 정부·기업과의 협력 등 민감한 사안을 논의해 온 것으로 조사됐다. 이런 정보가 경쟁사에 전달되면 개발 방향을 미리 읽히거나 거래 조건을 둘러싼 협상에서 주도권을 잃을 위험이 따른다. 기업 입장에서는 사내 파일의 접근 권한과 별개로, 정보가 처음 오가는 대화 현장까지 보호해야 하는 부담을 안게 된 셈이다.

이 같은 부담은 녹음 기능이 일상적인 개인 기기에 스며들면서 더욱 커지는 양상이다. 휴대전화에 대화를 녹음해 저장하는 행위는 사내망 접속을 전제로 하지 않아 회사의 통신 기록에도 흔적을 남기지 않는다. 스마트 안경처럼 착용한 상태에서 주변 상황을 기록하는 기기의 확산도 기업에는 새로운 변수로 떠올랐다. 미국 노동·고용 전문 변호사 데이비드 미클러스는 스마트 안경의 경우 기업 전산 부서가 추적하거나 보안 업데이트를 적용하기 어렵고, 직원이 퇴사해도 원격으로 데이터를 지울 수 없다고 지적했다. 회사가 계정을 폐쇄하고 업무용 장비를 회수한 뒤에도 개인 기기에 담긴 기밀은 관리 범위 밖에 남는 구조다.

표1. 회의 정보의 기밀 유출 경로와 기업 보안 위험

단편적 발언도 AI 거치면 전략 추적 단서

AI 음성 인식·요약 기술의 확산은 무단으로 수집한 대화를 분석하는 데 드는 시간과 비용까지 낮추고 있다. 긴 녹음을 텍스트로 바꿔 특정 기술이나 거래처가 언급된 대목을 추려내는 작업이 자동화된 영향이 크다. 여러 회의의 기록을 함께 분석하면 흩어져 있던 개발 일정과 투자 계획, 협상 조건을 연결해 파악하는 작업도 한결 수월해진다. 개별 회의에서 나온 단편적인 발언이 쌓여 기업 전략을 추적하는 자료로 쓰일 가능성이 생긴 것이다. 특히 회의 기록이 쌓일수록 개별 발언만으로는 드러나지 않았던 내부 사정까지 노출돼, 기업이 파악한 유출 내용보다 실제 피해 범위가 클 가능성도 있다.

일상적으로 사용하는 AI 회의록 서비스에도 기밀 노출 위험이 따른다. 클라우드 기반 서비스에서는 음성을 변환하고 요약하는 과정에 외부 업체가 관여하면서 회의 내용이 사내 관리 영역을 벗어나게 된다. 이렇게 전달된 음성과 대화록은 회의가 끝난 뒤에도 업체의 보관 정책과 이용자 설정에 따라 외부 서버에 남는다. 미국 전자프런티어재단(EFF)은 모델 학습에 사용하지 않는 데이터도 서비스 제공 등의 목적으로 보관되며, 저장된 정보가 해킹 등 유출 위험에 노출될 수 있다고 지적했다. 기업의 기밀 보호가 외부 업체의 보안 수준과 데이터 관리 방식에까지 영향을 받는다는 의미다. 특히 고객 정보와 협력사의 영업비밀이 포함된 기록이 유출될 경우 피해가 거래 상대방으로 번지면서 정보 제공 경위와 관리 책임을 둘러싼 분쟁도 예상된다.

사고 수습 비용에 커지는 기업 부담

기밀 유출에 따른 손실과 관리 책임이 커지면서 기술기업들이 직원 모니터링에 투입하는 예산도 늘어날 가능성이 높아졌다. 연구개발(R&D) 성과가 경쟁력을 좌우하는 기업일수록 내부자의 정보 접근과 반출 행위를 조기에 포착할 유인이 크다. 오픈AI는 이번 사건에 앞서 직원 검증을 강화하고, 핵심 기술 정보를 공유하는 인원을 프로젝트별로 제한해 왔다. 신모델 개발에 참여한 직원에게는 사내 공용 공간에서 관련 내용을 논의할 때 상대방도 해당 정보를 열람할 권한이 있는지 확인하도록 했다. 일부 사무실에는 지문 인증을 도입했으며, 보안 인력도 확충한 것으로 전해졌다. 이처럼 내부 통제를 강화해 온 기업에서 도청 혐의가 불거진 만큼, 실제 직원 행동과 보안 규정 준수 여부를 확인하는 투자에 한층 힘이 실릴 것으로 보인다.

내부자 위험에 대응하는 지출 확대는 글로벌 기업 조사에서도 확인된다. 보안업체 DTEX의 후원으로 포네몬연구소가 실시한 ‘2026 내부자 위험 비용 보고서’에 따르면, 조사 대상 기업의 IT 보안 예산에서 내부자 위험 관리가 차지하는 비중은 2023년 8.2%에서 2025년 약 19%로 높아졌다. 북미·유럽·중동·아프리카·아시아태평양 지역에서 중대한 내부자 관련 사고를 경험한 354개 조직을 조사한 결과다. 이들 조직의 연간 내부자 사고 관련 비용은 평균 1,950만 달러(약 260억6,000만원)에 달했으며, 여기에는 직원의 실수와 고의적 유출, 계정정보 탈취에 따른 사고가 포함됐다. 응답 조직의 64%는 2025년 관련 예산을 늘렸고, 70%는 2026년에도 증액을 예상했다. 내부 정보가 유출됐을 때 발생하는 조사·복구 비용과 업무 차질이 예방 투자 확대를 뒷받침하고 있다.

내부 감시 명분 강화

투자가 확대되면 기업이 수집·분석하는 직원 활동 기록도 늘어날 가능성이 크다. 이미 보안 시스템에는 문서 이용 내역과 출입증 사용 시간·장소를 결합해 이상 징후를 찾는 기능이 도입돼 있다. 자료 접근 권한을 가진 직원도 평소 업무와 동떨어진 정보를 조회하거나 담당 구역 밖을 반복적으로 드나들면 점검 대상에 오르는 방식이다. 이 과정에서는 시스템이 경고한 행동의 실제 업무 목적을 확인하는 보안 인력의 역할도 중요해진다. 정상적인 협업 과정의 자료 조회와 기밀 수집 시도를 가려내려면 담당 업무와 접근 경위를 함께 검토해야 하는 만큼, 감시 범위 확대는 분석 인력과 기록 관리에 드는 상시 운영비 증가로 이어질 것으로 관측된다.

기업이 이런 운영비를 감수할지 결정하는 데는 기술 유출로 잃게 될 경쟁 우위가 중요한 판단 기준으로 작용한다. 미국 랜드연구소는 지난 7월 보고서에서 AI 핵심 개발 노하우가 짧은 대화나 화면 노출만으로도 전달돼 기술적 우위를 훼손할 위험을 지적했다. 오랜 연구 끝에 얻은 성과가 경쟁사의 시행착오를 줄이는 데 쓰인다면, 유출 기업의 손실에는 앞서 확보한 시간과 시장 선점 기회까지 포함된다. 이런 위험에 대응하려면 접근 권한을 부여한 이후의 관리도 중요하다는 게 내부자 위험 전문가들의 시각이다. 폴 마틴과 세라 머서는 영국 왕립합동군사연구소(RUSI) 기고에서 지속적인 모니터링을 권한 부여 이후에 적용하는 인적 보안 조치로 설명했다. 이런 관점에서 이번 도청 사건은 직원 검증과 권한 설정 이후에도 감시 공백이 남는다는 경영진의 우려를 뒷받침하는 사례다. 직원 불신과 사생활 침해라는 비판을 받아온 모니터링 확대에 기술 경쟁력 보전이라는 근거가 더해지면서, 추가 인력과 예산을 투입하려는 기업의 주장도 설득력을 얻을 것으로 예상된다.