개인정보위 유출 신고... 해외 보안 스타트업 ‘캐시드럴’ 버그바운티에서 비롯
“내부 시스템 수행 활동 신고 안 했다” vs “책임 있는 보안 연구 중 최소 접근” 대립

앤트로픽의 생성형 인공지능(AI) 서비스 클로드에서 국내 기업용 계정 100여건이 유출됐다는 신고가 당국에 접수됐다.

10일 개인정보보호위원회(개인정보위)에 따르면, 앤트로픽은 지난달 31일 개인정보 유출 사고를 신고했다. 다만 아직 사전 검토 단계로 개인정보위가 정식 조사에 착수하지는 않았다.

[출처: 연합]

이번 유출 사고 원인으로 외부 보안 기업이 제3자 소프트웨어 취약점을 이용해 앤트로픽 내부 시스템에 무단 접근하면서 계정정보가 노출됐을 가능성이 제기됐다.

앞서 워싱턴포스트 보도에 따르면 캐시드럴은 앤트로픽이 승인한 버그바운티 프로그램에 참여해 영업·인사·IT 시스템 일부에 접근하는 데 성공했으며, 이로 인해 앤트로픽은 기업용 클로드 계정의 계정·조직 식별번호와 이름, 이메일 주소 등 업무 연락처가 노출됐을 가능성이 있다는 안내문을 일부 고객사에 전했다.

이번 유출 사고가 취약점을 제보하는 버그바운티가 시발점이었던 만큼, 양측 입장은 엇갈렸다. 앤트로픽은 캐시드럴이 내부 시스템에서 수행한 활동을 모두 신고하지 않는 등 버그바운티 프로그램의 규칙을 완전히 지키지 않았다고 주장했다.

반면 캐시드럴은 책임 있는 보안 연구를 수행하는 과정에서 필요한 최소한의 데이터에만 접근했다고 반박했다. 취약점과 관련된 외부 소프트웨어 공급사들에도 이 사실이 통보됐지만, 추가 악용 가능성을 고려해 기업 이름과 구체적 기술적 결함은 공개하지 않았다.

캐시드럴은 미국 정부효율부(DOGE) 출신을 주축으로 설립된 지 수개월에 불과한 신생 보안 기업이다.

출처 : 보안뉴스(https://www.boannews.com)