오픈AI 엔지니어, 임원 회의실 도청 혐의로 체포… 내부 보안 구멍 드러나

사건의 핵심: 엔지니어가 임원 회의실 노렸다

미 법무부가 13일 발표한 기소장에 따르면 **압둘라만 알포잔(35, 사우디 국적)**은 지난 7월부터 오픈AI 엔지니어로 근무했다. 그는 9월 28일경 샌프란시스코 본사 임원 회의실 TV 뒤 USB 포트에 녹음 장치를 심었다. 장치는 화장지로 감춰져 있었고 내용은 암호화돼 있었다.

이 방에서는 기밀 기술·상품 계획·정부 협의 등 핵심 전략 정보가 오갔다. 알포잔은 출입 권한이 없었으나 CCTV에 여러 차례 포착됐다. 범행 전 회사 생산성 도구로 회의실 위치, 임원 동선, 외부 파트너 일정까지 조회한 기록이 남아 있다.

AI가 범인을 잡았다: 오픈AI의 주장

오픈AI는 X 성명에서 자사 AI 모델로 장치를 분석해 설치자까지 특정했다고 밝혔다. 기술 감시 대응팀이 정기 점검 중 발견했고, FBI에 신고해 체포로 이어졌다.

회사 측은 "모델 가중치, 소스코드, 고객 데이터 유출 흔적은 없다"고 선을 그었다. 다만 장치가 정교하게 탐지를 피하도록 설계됐다고 인정했다. 암호화, 원격 전송, 은닉 기능까지 갖췄다는 설명이다.

국가 안보 프레임: FBI 수장까지 나섰다

크레이그 미사키안 샌프란시스코 연방검사는 **"국가 안보 문제"**라고 못 박았다. 카시 파텔 FBI 국장은 "미국 AI 혁신 보호가 최우선 대공작전 과제"라고 말했다. 단순 절도나 사내 비리가 아닌 대외 첩보 활동 가능성을 시사한 셈이다.

알포잔은 구금 상태로 기소됐으며 유죄 시 징역 5년, 벌금 25만 달러, 보호관찰 3년이 가능하다. 사건은 연방검찰 국가안보·사이버·특별기소부가 맡았다.

커뮤니티 반응: "어설픈 첩자" vs "빙산의 일각"

해커뉴스 댓글 328개 중 일부는 범행 수법이 조악하다고 봤다. "이 정도면 첩자가 아니라 아마추어"라는 평이 눈에 띈다. 반면 "이스라엘 직원 5%는 본국에 보고할 것"이라는 음모론성 추측도 나왔다. 내부자 거래로 옵션 수익을 노렸을 거란 분석도 있다. "내부 정보로 옵션 거래해 500만~1000만 달러를 벌려 했을 것"이란 구체적 시나리오까지 거론됐다.

레딧 r/singularity와 r/OpenAI 관련 게시물은 댓글이 0개라 여론을 확인할 수 없었다. 사우디 국적을 거론하며 국가 배후설을 제기하는 글도 본지가 확인하지 못했습니다.

한국 기업에 주는 시사점: AI 보안, 남의 일이 아니다

국내 주요 대기업도 생성형 AI를 사내 업무에 도입 중이다. 오픈AI 사례는 두 가지를 보여준다.

첫째, AI가 보안 도구가 될 수 있다. 오픈AI는 자사 모델로 이상 징후를 분석했다. 국내 기업도 자체 모델이나 보안 솔루션에 AI 탐지 기능을 붙여야 한다.

둘째, 내부자 위협은 국적을 가리지 않는다. 알포잔은 정식 채용된 엔지니어였다. 배경 조회, 권한 최소화, 물리 보안, 행동 분석까지 다층 방어가 필수다.

과기정통부가 지난해 발표한 'AI 신뢰성 확보 가이드라인'에 내부자 위협 대응이 명시돼 있다는 점은 본지가 확인하지 못했습니다. 현장 적용은 여전히 미흡하다.

본지가 앞서 짚은 오픈AI 리스크와 연결된다

본지가 25일 전 다룬 오픈AI, 직접 만든 AI로 칩 설계… '할라피뇨'가 의미하는 것에서 오픈AI가 자사 모델을 핵심 인프라에 투입 중임을 전했다. 17일 전 코덱스 에이전트 무단 7만8천 달러 과금 사고는 자동화 통제가 구멍임을 보여줬다.

이번 사건은 AI가 보안 주체이자 대상이 되는 모순을 드러낸다. 모델을 돌려 보안을 지키지만, 그 모델 자체가 표적이 된다. 오픈AI는 이 역설을 안고 간다.

쉽게 풀어보면

오픈AI에서 일하던 엔지니어가 회장단이 모이는 회의실에 녹음기를 숨겼습니다. TV 뒤에 화장지로 감싸서요. 그런데 회사 보안팀이 정기 점검 중 발견했고, 자기네 AI에게 "이게 뭔지, 누가 심었는지 알아봐"라고 시켜 범인을 잡아냈습니다. FBI가 나서서 "미국 AI 기술 지키는 게 최우선"이라며 체포했죠.

비유하자면 금고 지키는 경비원이 금고 열쇠를 훔치려다, 금고에 달린 AI 경보기에 걸려든 격입니다. 범인은 사우디 출신 30대 엔지니어. 단순 절도면 끝날 일이 "국가 안보" 딱지 붙으며 커졌습니다.

나에게 미치는 영향

챗GPT나 클로드 쓰는 일반 사용자라면 당장 달라질 건 없다. 내 대화 데이터가 샌 건 아니니까. 다만 내가 쓰는 AI 서비스가 얼마나 단단한지는 따져볼 만하다.

회사에서 생성형 AI 도입 논의 중이라면 보안팀에 세 가지를 물어보라.

• 사내 AI 모델로 이상 징후 탐지 가능한가
• 권한 없는 직원이 민감 구역 접근 시도하면 바로 알림 가나
• 물리 보안(회의실, 서버실)과 논리 보안(로그, 권한)이 연동되나

스타트업 대표라면 채용 시 배경 조회 범위를 다시 보자. 실력만 보고 뽑다간 금고 열쇠를 도둑에게 주는 꼴 된다.

남은 쟁점: 배후와 파장

수사는 진행 중이다. 알포잔 단독 범행인지, 배후가 있는지, 훔친 정보가 어디로 갔는지는 모른다. 오픈AI는 "유출 흔적 없다"지만 암호화된 장치 내용은 아직 해독 중일 수 있다.

미중 AI 패권 다툼 와중에 인재 유출·기술 유출 단속이 더 세질 것으로 보입니다. 한국 기업도 예외 아니다. 인재 영입 경쟁하다 보안 구멍 내주면 본전도 못 건진다.

이번 사건, 단순 해프닝으로 넘기기엔 신호가 너무 크다.