앤트로픽 로고. 로이터 연합뉴스

미국 인공지능(AI) 기업 앤트로픽이 생성형 AI 서비스 ‘클로드’를 이용하는 국내 기업용 계정 100여개의 개인정보 유출 사실을 개인정보보호위원회에 신고했다. 개인정보위는 현재 정식 조사에 앞선 사전 검토를 진행하고 있다.

9일 개인정보위에 따르면 앤트로픽은 지난달 31일 국내 기업용 계정 100여개와 관련한 개인정보 유출 사실을 신고했다.

이번 사고는 앤트로픽이 내부 업무에 사용하던 외부 소프트웨어의 취약점을 통해 외부 보안업체가 내부 시스템에 접근하면서 발생한 것으로 추정된다. 워싱턴포스트(WP)는 지난달 26일(현지시간) 미국 보안 스타트업 ‘캐서드럴’이 제3자 업무용 소프트웨어의 취약점을 이용해 앤트로픽 내부 시스템에 접근했다고 보도했다.

앤트로픽은 일부 기업 고객에게 보낸 안내문에서 이 과정에서 클로드 기업용 계정의 조직·계정 식별번호와 사용자 이름, 이메일 주소 등 업무 연락처 정보가 노출됐을 가능성이 있다고 알린 것으로 전해졌다. 요금제와 사용량, 이용 금액 등의 정보가 포함됐을 가능성도 제기됐다.

반면 이용자의 AI 프롬프트와 응답 결과물, 결제정보에는 접근하지 못했다는 것이 앤트로픽 측 설명이다. 리디아 할리 앤트로픽 기술연구원은 8일(현지시간) X에 “캐서드럴이 계정 이름과 이메일 주소, 요금제 등 정보에 무단 접근했지만 이용자의 프롬프트와 AI 응답 결과물, 결제정보에는 접근하지 못했다”고 밝혔다.

앤트로픽은 사고를 확인한 당일 영향을 받은 시스템을 차단하고 소프트웨어 공급업체와 협력해 취약점을 조치했다고 설명했다. 이후 제3자 소프트웨어에 대한 보안 관리와 모니터링 체계를 강화하겠다는 입장도 밝혔다.

개인정보위는 현재 신고 내용을 토대로 구체적인 침해 경위와 피해 규모 등을 살펴보고 있다. 해외 기업의 경우 국내 사업자와 달리 정식 조사에 앞서 자료 요청 등 별도 절차가 필요한 경우가 있어 사전 검토에 시간이 걸릴 수 있다고 개인정보위는 설명했다.

개인정보위 관계자는 “정식 조사에 착수하면 추가 조사를 통해 구체적인 피해 규모 등을 확인할 방침”이라고 말했다.