오픈AI 소송에서 드러난 애플의 내부 보안 허점
애플이 오픈AI와 전직 엔지니어들을 상대로 영업비밀 침해 소송을 제기한 가운데, 오히려 애플 자신의 IT 관리 체계가 허술하다는 지적이 나오고 있습니다. 업무 효율을 이유로 개인 Apple ID를 회사 업무에 연결해 사용하도록 해 온 운영 방식이 퇴사 후에도 기밀 문서에 접근 가능한 보안 구멍을 만들었다는 분석인데요. 이번 소송은 애플이 주장하는 고의적 유출과 함께, 회사 내부 시스템의 관리 미흡이라는 이중적인 쟁점을 던지고 있습니다.
사실 애플은 입사 시 직원들에게 개인 계정을 업무용 기기와 아이클라우드에 연결해 사용할 것을 권장해 왔습니다. 아이폰 특성상 하나의 ID만 사용할 수 있어 계정 분리가 어려웠고, 대부분의 직원이 개인 계정을 업무에 그대로 활용했습니다. 문제는 퇴사 후에도 개인 아이클라우드 공간에 저장되거나 공유된 문서가 완전히 정리되지 않았다는 점입니다. 일부 전직 직원들은 퇴사 후에도 개인 기기에서 내부 문서를 열람할 수 있었고, 문서가 수정될 때마다 업데이트 알림을 받는 사례까지 발생했습니다.
애플은 전직 직원 류창이 퇴사 후에도 드문 인증 버그를 이용해 내부 저장소에 재접속했고, 다른 직원은 기밀문서를 개인 이메일로 전송해 오픈AI 측에 활용하려 했다고 주장하고 있습니다. 반대로 오픈AI는 다른 회사의 영업비밀에는 관심이 없다며 의혹을 전면 부인했습니다. 이 과정에서 개인 계정 기반의 협업 폴더 접근권 회수 실패와 아이메시지 기반 자료 관리 등이 보안 통제의 약화를 시사하고 있습니다.
AI 제보 쏟아지자 검토 한도 도입
애플이 보안 취약점 제보를 받는 방식에도 변화가 생겼습니다. 최근 성능이 향상된 대형언어모델이 취약점 발견과 악용 경로 도출을 가속화하면서 AI로 생성된 제보가 급증했는데요. 애플은 지난 6월부터 버그 바운티 프로그램에 제출 건수 상한제와 30일의 대기 기간을 도입해 검토 부담을 줄이고 있습니다.
캘리프.io는 앤트로픽의 미토스 프리뷰 모델을 활용해 M5 실리콘 기반 맥OS 커널 메모리 손상 익스플로잇을 단 5일 만에 구현하는 등 AI의 보안 분석 능력이 급격히 높아졌습니다. 이로 인해 애플은 중요 제보가 누락되지 않도록 연구자들이 한도 증액을 요청할 수 있는 경로를 별도로 열어두었습니다. 다만 업계 전반으로 AI가 생성한 저품질 제보를 걸러내기 위한 등급제 도입 움직임도 나타나고 있습니다.
내부 통제와 외부 위협 사이
애플은 일부 보안 업데이트 일정도 앞당겨 신속한 대응을 꾀하고 있습니다. 이런 상황에서 과거 개인 계정 사용을 권장하며 생긴 관리 사각지대와 이제는 AI로 인해 폭증하는 보안 제보라는 두 가지 과제를 동시에 안게 된 셈입니다. 향후 재판은 퇴사 후 저장소 접근 여부와 유출 자료의 성격을 규명하는 과정에서 애플의 내부 통제 체계를 더 깊이 들여다보게 될 것으로 보입니다.