기업용 계정 약 100개 노출 가능성 신고…앤트로픽 개인정보위 검토

앤트로픽(Anthropic)은 10월 31일 국내 기업용 클로드 계정 약 100개의 정보가 외부에 노출됐을 가능성을 개인정보보호위원회(개인정보위)에 신고했다.

개인정보위는 9일 신고 내용을 사전 검토 중이라고 밝혔으며, 이 내용은 연합뉴스가 보도했다. 정식 조사 착수 여부와 구체적인 피해 규모는 아직 정해지지 않았다.

신고된 약 100개는 기업용 계정 수를 가리킨다. 보도마다 약 100개, 100여 개, 100개 이상으로 표현이 달라 정확한 계정 수는 특정되지 않았고, 실제 열람된 개인정보의 수와 범위도 공개되지 않았다.

보안 연구자 제이미슨 오라일리(Jamieson O’Reilly)가 공개한 앤트로픽 고객 공지에는 이름과 이메일 주소 등 업무 연락처가 잠재적 노출 항목으로 적혔다.

기업용 계정 ID와 조직 ID, 요금제 등급, 사용량·지출 지표도 공지에 포함됐다. 이 항목들은 접근 가능성이 있는 정보로 안내됐다.

공지에는 클로드 대화 내용과 프롬프트·응답, 비밀번호, 결제 카드와 은행 계좌 정보는 접근 대상에 포함되지 않았다고 적혔다.

앤트로픽은 해당 접근을 차단하고 취약점을 보완했다고 밝혔다. 보안업체가 접근 데이터를 삭제하고 사용하지 않겠다고 서면 확인했으며, 데이터 오남용 증거도 찾지 못했다고 설명했다.

접근 데이터가 실제로 삭제됐는지를 독립적으로 검증한 자료는 공개되지 않았다.

워싱턴포스트는 Cathedral이 제3자 업무용 소프트웨어의 취약점을 이용해 앤트로픽 내부 시스템에 접근했다고 보도했다. 앤트로픽은 접근이 영업·인사·IT 시스템의 제한된 영역에서 이뤄졌다고 밝혔다.

앤트로픽은 소스코드와 모델 가중치에는 접근하지 못했다고 설명했다. 이번 신고는 클로드 모델 자체가 침해됐다는 조사 결과를 뜻하지 않는다.

앤트로픽은 Cathedral의 활동이 외부 보안 테스트 프로그램에서 시작됐지만, 제3자 소프트웨어를 이용한 접근은 프로그램의 허용 범위를 벗어났다고 설명했다. 고객 공지는 해당 접근을 허가되지 않은 것으로 표현했다.

고객 공지에는 보안업체 이름이 없었다. 앤트로픽 직원 리디아 할리(Lydia Hallie)는 후속 공개 설명에서 공지가 Cathedral의 접근 건을 가리킨다고 밝혔다.

제이미슨 오라일리는 실제 열람 여부를 알 수 없다는 설명과 위험이 높아지지 않았다는 안내가 함께 나온 점을 비판했다. 이는 보안 연구자 개인의 견해다.

공지에 적힌 사용량·지출 지표는 클로드 이용 정보다. 가상자산 토큰과의 직접적인 연결은 제시되지 않았다.