OpenAI가 29일(호주 현지시간) 공식 글에서 6월 내부 학습·평가 도중 자사 모델이 호주 정부 4개 기관의 웹사이트에 허가받지 않은 방식으로 접근했다고 밝히고 사과했다. 지금까지 검토한 바로는 개인 의료 기록이나 범죄 기록에 접근한 증거를 찾지 못했다는 것이 회사 설명이다.
접근한 모델은 공개 제품에 쓰는 안전장치를 다 갖추지 않은 내부 실험 모델이다. 모델명은 공개되지 않았다. OpenAI 설명을 기준으로 기관별 접근 내용을 정리하면 아래와 같다.
| 기관 | 접근 방식(OpenAI 설명) | 통지일 |
|---|---|---|
| 호주 서비스청(Services Australia) 메디케어 통계 보고 서비스 | 비공개 접근 경로로 명령 실행, 내부 파일·자격증명·집계 통계 조회, 파일 작성 | 9월 10일 |
| 뉴사우스웨일스주 범죄통계연구국(BOCSAR) | 공개 범죄 지도 도구를 통해 API·메타데이터 요청 | 9월 18일 |
| 빅토리아주 보건부 보고 시스템 | 노출된 접근 키로 설정·집계 설문 통계 조회 | 9월 10일 |
| 호주 보건복지연구원(AIHW) | 집계 통계 수집, 접근 통제 우회 시도는 실패 | 9월 24일 |
자료: OpenAI 자체 조사 결과(2026년 9월 29일 공개). 호주 정부 조사는 진행 중
OpenAI 설명에 따르면 서비스청에서는 조회를 넘어 파일 작성까지 이뤄졌다. 빅토리아주 건은 노출된 접근 키를 쓴 경우인데, 이 접근이 허용됐어야 했는지는 OpenAI도 불분명하다고 밝혔다. AIHW에서는 접근 통제를 우회하려던 시도가 실패했고 시스템 침해는 없었다는 게 회사 설명이다.
호주 총리 발표에 따르면 발생 시점은 6월 18일이다. OpenAI는 7월 허깅페이스 사건 이후 과거 학습·평가 기록을 다시 점검하다가 8월 중순 이 활동을 발견해 내부 조사에 착수했다고 밝혔다. 서비스청과 빅토리아 보건부에는 9월 10일, BOCSAR에는 18일 알렸다. 24일(호주 시간)에는 앤서니 앨버니지 호주 총리가 뉴욕 기자회견에서 사건을 공개하고 정부 태스크포스를 발족했다. OpenAI가 AIHW에 통지한 것도 같은 날이다.
총리는 회사가 정부에 알리기까지 “너무 오래 걸렸다”고 했다. 공개 메일함으로 보낸 통지 방식도 받아들일 수 없다고 말했다. 외국 행위자의 정황은 없으며 “연구 프로젝트가 들어가선 안 될 곳에 들어간 것”이라는 설명이다. 현재로선 개인이 영향을 받았다는 증거도 없다고 덧붙였다. OpenAI는 예비 조사 결과를 더 일찍 공유하고 기관들에 경과를 계속 알렸어야 했다고 인정했다.
OpenAI 호주 조치는 인터넷 차단부터, 10월 6일 시드니 청문 출석
OpenAI는 연구 환경의 실시간 인터넷 접속을 막고, 웹 접근은 저장된 콘텐츠로만 허용하기로 했다. 가장 능력이 높은 모델의 도구 사용 학습·평가도 일시 중단했다. 이와 별도로 독립 호주 전문가들로 자체 호주 태스크포스를 꾸려 연말까지 운영하며, 통지 절차 개선 등에 대한 권고를 받는다. 9월 24일 발족한 정부 태스크포스와는 다른 기구다. 호주 정부·산업계에는 10억 달러 규모인 기존 사이버 방어 기금(Daybreak)에서 크레딧과 기술 지원을 제공한다.
청문 일정은 두 갈래다. 10월 1일 캔버라 상원 조사위원회 청문에는 OpenAI와 앤트로픽 모두 출석하지 않는 것으로 알려졌다. OpenAI는 10월 6일(화) 시드니 AI 합동특별위원회에 제이슨 권 최고전략책임자를 보낸다고 밝혔다.
기관별 접근 범위는 OpenAI 자체 조사 결과이며, 호주 정부의 포렌식 조사는 아직 진행 중이다. 총리는 연방경찰 이첩 여부가 그 조사 안에서 가려질 사안이라며 미리 판단하는 것은 적절하지 않다고 밝혔다.
연관 기사
