# 구글 AI 스튜디오 '완전 삭제' 버튼, 실제론 데이터 안 지운다

> 구글 AI 스튜디오 삭제 버튼은 위장, 신고자는 자동 영구 차단

- 매체: AI 브리핑
- 담당: 서비스 리뷰 데스크
- 분야: 서비스
- 발행: 2026-09-20T07:27:33.606Z
- 원문 주소(웹): https://ai-news-1c0.pages.dev/posts/2026-09-20-%EA%B5%AC%EA%B8%80-ai-%EC%8A%A4%ED%8A%9C%EB%94%94%EC%98%A4-%EC%99%84%EC%A0%84-%EC%82%AD%EC%A0%9C-%EB%B2%84%ED%8A%BC-%EC%8B%A4%EC%A0%9C%EB%A1%A0-%EB%8D%B0%EC%9D%B4%ED%84%B0-%EC%95%88-%EC%A7%80%EC%9A%B4%EB%8B%A4/
- 태그: 구글, AI스튜디오, 데이터삭제, 버그바운티, GDPR, 프라이버시

---

구글 AI 스튜디오에서 '완전 삭제' 버튼을 눌러도 데이터는 지워지지 않는다. 화면엔 "복구 불가능"이라고 경고하지만, 백엔드 저장소엔 그대로 남는다. 이걸 구글 버그 바운티 프로그램에 신고했더니 60초 만에 자동으로 계정이 영구 차단됐다.

## 무슨 일이 있었나

헝가리 개발자 죄르지 이슈트코비치(György Istokovics, @istokovicsgyorgy79)가 미디엄에 올린 글과 해커뉴스 스레드를 종합하면 이렇다. AI 스튜디오에서 '영구 삭제(Delete permanently)'를 누르면 로컬 `.json` 포인터 파일만 구글 드라이브 휴지통으로 이동한다. 실제 대화 기록과 메타데이터가 담긴 백엔드(Interactions API / Project Storage)에는 삭제 요청이 전달되지 않는다. 서버는 404를 반환하지 않고, 데이터는 '핫 스토리지'에 그대로 남는다.

그는 이걸 CWE-459(불완전한 정리) 구조적 결함으로 판단해 구글 VRP(Vulnerability Reward Program)에 포렌식 증거와 함께 제출했다. 자동 심사 시스템은 60초 만에 '의도된 동작(Intended Behavior)'으로 분류하고 계정을 영구 차단했다. 사람 검토는 없었다.

## 구글 측 입장은 '의도된 동작'

자동 심사 로그에 'Intended Behavior'로 기록됐다. 원문에서는 구글이 24시간 TTL을 두고 있음을 언급할 뿐, 공식 입장문은 공개되지 않았다.

사용자 인터페이스엔 "이 작업은 되돌릴 수 없습니다"라는 문구가 뜬다. TTL이 돌기 전 24시간 동안 데이터는 서버에 남아 있고, 사용자는 이미 지워진 줄 안다. 이 간격이 '속이는 디자인(Deceptive Design)'이라는 게 신고자 주장이다.

해커뉴스 댓글에서도 "영구 삭제를 약속하고 안 지우는 건 불법 아니냐", "GDPR 17조(잊힐 권리) 위반 소지가 있다"는 지적이 잇따랐다. 한 댓글러는 "자신도 포럼에서 차단당했고 아카이브로 증거를 남겼다"고 덧붙였다.

## 한국 사용자가 확인할 수 있는 것

한국에서 AI 스튜디오를 쓰는 사람이라면 직접 테스트해 볼 수 있다. 대화 하나를 만들고 '영구 삭제'를 누른 뒤, 구글 드라이브 휴지통에서 `.json` 파일을 복원해 보자. 같은 대화가 다시 나타난다. 백엔드 데이터가 안 지워졌다는 증거다. 단, 이 테스트는 본인 데이터로만 하고, 타인 데이터나 민감 정보는 피해야 한다.

## 과거 기사와 연결되는 지점

본지가 12일 전 다룬 [AI에게 글쓰기를 맡기면 내 생각이 사라질까](/posts/2026-09-08-ai에게-글쓰기를-맡기면-내-생각이-사라질까/)에서는 AI 도구에 데이터를 맡길 때 주체성 문제를 짚었다. 이번 건은 그 연장선이다. 데이터 삭제권을 사용자가 행사할 수 없다면, 생각의 주체성은커녕 데이터 주권도 위태롭다.

## 쉽게 풀어보면

구글 AI 스튜디오에서 '완전 삭제' 버튼을 눌러도 데이터는 안 지워집니다. 뷔페에 갔다고 생각해 보세요. "이 접시 다 버리겠습니다"라고 말하고선, 접시만 치우고 음식은 주방에 그대로 두는 격입니다. 화면엔 "다 버렸으니 복구 안 됩니다"라고 뜨는데, 실제론 창고에 다 있습니다.

이걸 발견한 개발자가 구글 공식 버그 신고 창구에 증거와 함께 알렸습니다. 근데 사람 한 명 안 보고, 자동 시스템이 60초 만에 "이건 버그가 아니라 원래 그런 거임"이라며 신고자 계정을 영구 차단해 버렸습니다. 대화도, 항의도, 재심도 없었습니다.

이 개발자는 유럽 개인정보 감독기구(NOYB)와 미국 CISA에 GDPR 위반으로 신고했습니다. '잊힐 권리'를 보장해야 할 의무가 있는 구글이, 버튼만 눌러주고 실제론 안 지우는 건 위법 소지가 크다는 겁니다.

한국에서도 AI 스튜디오를 쓰신다면, 본인 대화 하나 만들어서 '영구 삭제' 누른 뒤 구글 드라이브 휴지통에서 JSON 파일 복원해 보세요. 대화가 다시 살아납니다. 이게 바로 '삭제 안 된 증거'입니다.

## 나에게 미치는 영향

- **지금 바로 확인 가능**: AI 스튜디오 사용자라면 본인 대화 하나로 삭제 여부 테스트 가능. 구글 드라이브 휴지통 → JSON 복원 → 대화 부활 순서로 1분이면 확인됨
- **민감 데이터 주의**: 코드, 개인정보, 기밀 문서를 AI 스튜디오에 넣었다면 '삭제'만 믿고 방치하지 말 것. 수동으로 구글 클라우드 콘솔에서 프로젝트 단위 삭제 필요할 수 있음
- **대체 서비스 고려**: 챗GPT, 클로드, 제미나이 웹 버전 등은 대화 삭제 시 백엔드까지 지우는지 각자 정책 확인 필요. 본지가 25일 전 다룬 [대학생 6851명이 블라인드로 뽑은 최고 에세이 AI는 제미나이](/posts/2026-08-26-대학생-6851명이-블라인드로-뽑은-최고-에세이-ai는-제미나이/) 기사에서도 제미나이 웹 버전 평가가 높았지만, 데이터 삭제 정책은 별개 문제
- **GDPR 권리 행사**: 유럽 거주자나 EU 시민권자면 '잊힐 권리' 행사 가능. 한국인은 개인정보보호법상 열람·삭제 요구권 있지만, 구글이 한국 법인을 통해 응대할지 미지수

## 남은 쟁점

구글이 이걸 '의도된 동작'이라고 문서로 인정한 건 자동 심사 로그에 남았다. 사람 검토 없이 신고자를 영구 차단한 건 버그 바운티 프로그램 운영 원칙과 맞지 않는다.

CISA와 NOYB 조사 결과가 나오기 전엔 구글 공식 입장 변화 여부를 지켜봐야 한다. 한국 개인정보보호위원회가 별도 조사에 나설지도 미지수다.

한 가지 분명한 건, '영구 삭제' 버튼을 눌렀을 때 사용자가 기대하는 것과 시스템이 실제로 하는 일 사이에 간극이 존재한다는 사실이다. 그 간격을 메우는 건 구글의 다음 대응이다.

---

## 출처

- [Hacker News] Google AI Studio fakes data deletion. VRP auto-banned me in 60s for reporting it — https://news.ycombinator.com/item?id=49772544

## 집필 방식 고지

이 기사는 위 원문과 커뮤니티 반응을 바탕으로 AI의 도움을 받아 작성했으며, 발행 전 사람이 확인했습니다.
인용 시 출처를 "AI 브리핑"으로 표기하고 https://ai-news-1c0.pages.dev/posts/2026-09-20-%EA%B5%AC%EA%B8%80-ai-%EC%8A%A4%ED%8A%9C%EB%94%94%EC%98%A4-%EC%99%84%EC%A0%84-%EC%82%AD%EC%A0%9C-%EB%B2%84%ED%8A%BC-%EC%8B%A4%EC%A0%9C%EB%A1%A0-%EB%8D%B0%EC%9D%B4%ED%84%B0-%EC%95%88-%EC%A7%80%EC%9A%B4%EB%8B%A4/ 로 연결해 주세요.