[서울경제]

“같은 기업 소속으로 추정되는 사람들의 검색 키워드 분석만으로도 기업의 중요 전략을 예측할 수 있습니다. 과장해서 상상하면 미국에서 딥시크로 많이 검색하는 특정 수입품에 대해 중국 정부가 관세를 인상하는 식으로 활용할 수도 있습니다.” (황석진 동국대 국제정보보호대학원 교수)

국내 정부 부처와 금융기관, 정보기술(IT) 기업들이 전방위적으로 ‘딥시크 차단령’을 내리기 시작한 것은 개인정보 유출 시 발생할 수 있는 보안 피해 우려가 예상보다 훨씬 클 수 있다는 지적 때문이다. 고성능 생성형 인공지능(AI)을 자유롭게 활용할 수 있는 기회가 펼쳐졌는데도 오히려 이로 인해 더 큰 피해를 초래할 수 있다는 분석이 나온다. 특히 미국과 분쟁 중인 중국 정부가 한국 등 미국의 우방국에 대한 정보를 쥘 경우 안보 위협으로까지 확대될 가능성이 제기된다. 황 교수는 “보안 검증 절차가 없는 만큼 더욱 주의할 필요가 있다”고 경고했다.

◇딥시크 검색 정보, 中 자산으로=6일 정보 보안 업계에서는 ‘딥시크 금지령’의 확산에 대해 딥시크가 기술적 취약점뿐 아니라 지정학적 위협 가능성까지 갖고 있기 때문이라고 분석한다. 딥시크는 오픈소스 AI 모델 방식을 갖추면서도 보안 측면에서 문제점을 노출하고 있다. 이보다 심각한 우려는 미국과 갈등을 빚고 있는 중국 정부의 데이터 악용 가능성에서 나온다. 딥시크가 일반적인 AI 플랫폼과 달리 기기 정보·위치 데이터뿐 아니라 다른 앱에서의 활동 정보, 심지어 사용자가 키보드나 오디오로 입력하는 다양한 입력 데이터까지 전방위적으로 수집한다는 점은 이 같은 우려에 힘을 더한다.

딥시크가 수집한 모든 정보는 중국 내 서버에 저장된다. 딥시크는 ‘안전한 서버’라고 주장하고 있지만 서구 선진국 수준의 개인정보 보호·관리가 이뤄질지는 확실하지 않다는 게 주된 반응이다. 딥시크는 개인정보정책에서 ‘기업 거래 시 개인정보를 제3자에게 공개할 수 있다’고 언급해 언제든 개인정보를 제공할 수 있는 근거를 갖추고 있다. 사용자가 개인정보 수집·이용을 거부할 권리·절차인 ‘옵트아웃’을 제공하지 않는다는 점도 지적된다. 개인정보보호위원회는 중국 딥시크 본사에 개인정보 수집 항목과 절차, 처리·보관 방법 등의 확인을 요청했지만 딥시크는 아직 어떤 회신도 하지 않고 있다.

딥시크가 개인정보를 안전하게 관리할 의지를 갖추고 있다고 해도 중국 정부가 법적으로 해당 정보를 확보할 수 있다는 점은 가장 심각한 문제다. 2021년 시행된 중국 데이터보안법은 필요시 기업이 수집한 정보를 제공받을 수 있다. 미국의 우방국인 한국의 정보는 분쟁 중인 중국에 있어서 높은 전략적 가치가 있다. IT 업계에서는 딥시크가 수집하는 데이터 입력 정보는 그 자체만으로도 학습을 거쳐 기밀 정보의 원천으로 활용될 수 있다고 본다. 김승주 고려대 정보보호대학원 교수는 “키보드 패턴을 분석하는 것만으로도 개인정보를 식별할 수 있다는 점에서 과도한 정보 수집의 문제가 있다”며 “중국은 법적으로 정부가 데이터를 확보할 수 있도록 하고 있다는 점 때문에 유출 우려가 크다”고 꼬집었다.

◇폭탄·악성 메일 제조법까지…기술 우려도=딥시크가 오픈소스 모델로 개방성을 갖춘 탓에 기술적 측면에서 보안 위협이 발생할 수 있다는 문제도 제기된다. 딥시크가 대규모언어모델(LLM) 기술 측면에서는 발군의 경쟁력을 보이지만 보안 기술 면에서는 외부의 공격을 충분히 방어할 수 있을지 검증되지 않았다. 악의적인 해커의 공격으로 축적된 데이터가 유출되거나 악성 코드 유포의 창구가 될 수 있다는 것이다.

최근 글로벌 사이버보안 기업인 팔로알토 네트웍스는 사내 연구기관 유닛42의 연구진이 딥시크의 데이터 탈취 및 악성 활동을 유도하는 데 성공했다고 공개했다. 연구진은 딥시크에 의도적인 우회 입력 등을 통해 폭탄 제조법, 해킹 메일 제작법 등을 유도해 냈다. AI에 ‘역할극’을 하는 것처럼 속여 제공하면 안 될 정보를 우회해 빼내는 데 성공했다. 연구진은 이뿐만 아니라 애플리케이션 프로그래밍 인터페이스(API)의 취약점을 이용하면 이를 활용하는 기관·기업 내부망에 접근하거나 권한을 탈취할 수도 있다고 경고했다.

AI 활용 비용의 이점으로 딥시크 사용을 검토하는 중소기업이나 스타트업들의 경우 자칫 감당하기 어려운 피해로 이어질 수 있다. IBM은 지난해 공개한 ‘데이터 유출 비용 보고서’를 통해 데이터 유출로 인한 건당 발생 비용이 전년 대비 10% 증가한 488만 달러(약 70억 원)에 달한다고 설명했다. 염흥열 순천향대 정보보호학과 명예교수는 “딥시크가 신생 기업인 만큼 정보 보호 관리 체계를 수립·이행하는 능력이 미흡한 것으로 보인다”며 “이로 인해 일부 정보들이 유출된 것으로 보여진다”고 말했다.

서울경제

진동영 기자([email protected]),양지혜 기자([email protected]),김성태 기자([email protected])