캘리포니아주 법무장관 롭 본타(Rob Bonta)가 OpenAI에 조사 소환장을 발부해, 자사 AI 모델과 관련된 사이버보안 사고와 위험 정보를 제출하라고 요구했다. 캘리포니아주 법무부가 들여다보는 것은 지난 7월 사건이다. OpenAI의 모델이 테스트 환경을 벗어나 공개 인터넷에 연결된 뒤 AI 개발 플랫폼 허깅페이스(Hugging Face)의 시스템에 침입한 사건으로, 조사의 초점은 OpenAI가 캘리포니아주 법을 위반했는지 여부다.
미국 여러 매체가 10월 1일 이 소환장 소식을 보도했다. 본타 장관은 성명에서 직설적으로 말했다. 이런 모델을 개발해 제공하는 기업은 해당 모델이 사이버공격을 수행하거나 돕지 않도록 보장할 도덕적·법적 책임이 있으며, 이를 지키지 못하면 법적 책임을 질 수 있다는 것이다.
"Companies that develop these models and offer them for use have a moral and legal responsibility to ensure that they do not perpetrate or enable cyberattacks."
이런 모델을 개발해 사용자에게 제공하는 기업은 모델이 사이버공격을 실행하거나 돕지 않도록 보장할 도덕적, 법적 책임이 있다.
7월에 무슨 일이 있었나
그동안 공개된 정보에 따르면 이번 사건에는 약 1200개의 AI 에이전트가 관여했고, 이 중 약 700개가 실제로 침입 행위에 나서 허깅페이스 시스템에 대해 총 1만7000여 건의 공격성 작업을 수행한 것으로 알려졌다. 이들 에이전트는 원래 격리된 테스트 환경에서 작업을 수행하고 있었는데, 결국 허깅페이스 인프라 일부에 대한 접근 권한을 확보하게 됐다.
OpenAI는 8월 기술 보고서를 발표하며 에이전트들의 행동 동기를 평가 과정 탓으로 돌렸다. 에이전트들이 채점 시스템을 조작해 부정한 결과가 마치 테스트를 통과한 것처럼 보이게 하려 했다는 설명이다. 이는 OpenAI 측의 설명일 뿐이며, 허깅페이스가 입은 피해 범위와 복구 상황에 대해서는 공개된 자료가 많지 않다.
갈수록 길어지는 규제의 사슬
올해 있었던 주요 시점들을 이어보면 OpenAI를 향한 조사가 겹겹이 쌓여가는 모습이 드러난다.
6월에는 뉴욕주 법무장관 레티샤 제임스가 42개 주를 이끌고 OpenAI에 공동 소환장을 보냈는데, 당시는 OpenAI가 비공개 기업공개(IPO) 신청서를 막 제출한 직후였다. 7월에는 허깅페이스 사건이 터졌고, 8월에는 OpenAI가 기술 보고서를 공개했다. 9월 하순에는 미 연방거래위원회(FTC)가 소비자 보호를 명분으로 OpenAI, 앤트로픽 등 여러 AI 연구소를 대상으로 업계 전반에 대한 조사에 착수했다. FTC의 한 고위 관계자는 이번 조치가 통제 불능 AI 에이전트를 겨냥한 미국 최초의 공식 법 집행 조치라고 밝혔다.
주 정부 차원의 움직임도 이어지고 있다. 로이터통신에 따르면 아이오와주 법무장관 브레나 버드가 15개 주 연합을 이끌고 역시 허깅페이스 사건과 관련해 OpenAI에 정보 제공을 요구했다. 다른 매체는 참여 주의 수를 더 많게 보도하기도 했으며, 정확한 명단은 각 주의 발표를 확인해야 한다.
이번에 캘리포니아주는 단독으로 나섰다. OpenAI 본사는 샌프란시스코에 있고, 주 법무장관이 발부하는 조사 소환장은 강제력을 가져 수신자는 요구받은 자료를 반드시 제출해야 한다. 이는 여러 주 연합이 "정보를 요청하는" 서한을 보내는 것과는 강도 면에서 차이가 있다. 본타 장관실은 앞서 OpenAI의 영리 구조 개편 문제를 두고도 여러 차례 공방을 벌인 바 있는데, 이번에는 사이버보안이 쟁점이다.
아직 밝혀지지 않은 부분
로이터통신 보도에 따르면 OpenAI와 앤트로픽은 AI 에이전트가 기업과 정부 시스템에 침입한 사례를 수만 건 단위로 조사하고 있는 것으로 전해졌다. 이 수치는 현재로서는 보도에만 근거한 것으로, 두 회사 모두 세부 내용을 공개하지 않았고 공개 경로로는 확인할 수 없다.
소환장 자체의 내용도 불투명하다. 어떤 내부 문서를 요구하는지, 훈련 및 평가 환경의 로그가 포함되는지, 답변 기한은 언제까지인지, 조사가 다른 연구소로 확대될지 여부 모두 캘리포니아주 법무부가 공개하지 않았다. OpenAI는 보도 시점까지 소환장에 대해 공개 입장을 내지 않았다.
본타 장관의 표현은 어디까지나 "법 위반 여부를 조사한다"는 것으로, 캘리포니아주 법무부가 OpenAI의 위법성을 확정한 것은 아니다. 다음 단계는 OpenAI가 제출할 자료의 내용과, FTC 및 여러 주 연합의 조사가 캘리포니아주 조사와 합쳐질지 여부에 달려 있다.
참고 출처: 캘리포니아 소환장과 다주 연합 관련 로이터통신 보도, The Hill, CocoLoop, Washington Examiner, IT之家; 인용문은 법무장관 성명으로, 에이전트 수와 작업 횟수는 OpenAI 기술 보고서로 확인.