통화 내역 유출된 LG유플러스 AI ‘익시오’…뭐가 문제였나?

최근 LG유플러스의 인공지능(AI) 통화비서 앱 ‘익시오(ixi-O)’에서 발생한 통화 내역 유출 사고는 외부 해킹이 아닌 내부 개발 과정에서의 ‘설정 오류’로 확인됐다. 하지만 논란은 여전히 남아있다. 데이터를 안전하게 보관하는 ‘온디바이스(기기 내장형) AI’를 강조했던 서비스가 실제로는 편의성을 위해 통화 데이터를 서버에 보관해온 사실이 드러났기 때문이다. 이에 LG유플러스가 강조한 마케팅 내용과 실제로 구현한 서비스 구조의 간극이 새로운 쟁점으로 떠올랐다.

고객 신고로 드러난 ‘설정 실수’

이번 사고는 LG유플러스의 자체 관제 시스템이 아닌 피해 내용을 목격한 고객의 신고로 처음 알려졌다. 지난 3일 오전 한 이용자가 ‘고객의 소리(VOC)’를 통해 타인의 통화 기록이 보인다는 사실을 알렸고, LG유플러스는 조사에 착수했다.

조사 결과, 지난 2일 진행된 서비스 업데이트 과정에서 시스템 오류가 발생해 용자 36명의 통화 요약본과 전화번호 등이 다른 이용자 101명에게 노출된 사실이 파악됐다.

LG유플러스 관계자는 “이번 사고는 외부 해킹이나 침해 사고가 아니라 개발 과정에서 발생한 직원의 실수”라고 설명했다. 이용자 증가에 대비해 서버 속도를 개선하는 작업 중 데이터를 불러오는 캐시 설정에 오류가 생겨, 한 이용자의 화면에 다른 이용자의 통화 기록이 노출됐다는 설명이다.

‘온디바이스’라더니 왜 서버에?…‘서비스 편의성’ 위해 6달간 보관

단순한 기술적 오류를 넘어선 쟁점은 노출된 ‘데이터의 위치’다. LG유플러스가 익시오의 강점으로 강조해온 온디바이스 AI는 데이터가 기기 내부에서 처리되어 보안성이 높다고 알려져 있다. 그런데 이번 유출 사고는 데이터가 디바이스 내부가 아닌 서버를 거치는 과정에서 발생했다.

이에 대해 LG유플러스 측은 ‘서비스 연속성’을 위해 일부 통화 내역 데이터를 서버에 보관하고 있다고 밝혔다. 회사 관계자는 “AI 데이터 생성과 처리는 기기 내부(온디바이스)에서 이뤄지지만, 통화 내역과 요약본 등은 서버에 최대 6개월간 보관한다”고 설명했다.

이어 “이용자가 휴대폰을 교체하거나 앱을 삭제 후 재설치했을 때, 기존 이용 기록을 다시 불러와 사용할 수 있도록 하기 위한 조치”라며 “해당 내용은 개인정보 처리방침에도 고지돼 있다”고 덧붙였다.

보안업계 “서버 연결된 순간 위험, LLM 개발 관행이 키운 구멍”

보안 전문가들은 LG유플러스가 강조한 이 ‘서비스 연속성(서버 연결)’ 구간이 바로 사고의 원인이 되었다고 분석한다.

보안 전문기업 샌즈랩은 이번 사고의 원인을 ‘온디바이스와 서버 간의 세션 불일치’라고 진단했다. 샌즈랩 관계자는 “업데이트 과정에서 기기와 서버 간 식별자가 꼬일 경우, 해당 세션을 폐기하고 재갱신하는 ‘예외 처리’가 필수적인데 이 부분이 누락된 것으로 보인다”고 분석했다. 서버에 데이터를 저장하지 않는 순수 온디바이스 구조였다면 애초에 발생하지 않았을 ‘세션 오류’가 편의성을 위해 서버를 연결하면서 문제가 생겼다는 것이다.

여기서 말하는 세션은 기기와 서버가 서로를 동일한 이용자로 인식하기 위해 설정하는 일시적 연결 단위다. 업데이트나 재설치 과정에서 이 식별 값이 혼동되면 서버는 잘못된 이용자 계정으로 연결할 수 있다. 이런 경우, 다른 사람의 통화 내역이 엉뚱한 기기로 전달되는 사고로 이어질 수 있다.

샌즈랩 관계자는 “최근 대규모언어모델(LLM) 기술이 발전하면서 개발 생산성은 높아졌지만, 기능 구현에만 치중하다 보니 다양한 예외 상황을 테스트하지 않고 서비스에 적용하는 경우가 많다”며 “최종 이용자에게 전송하기 전 검증 과정이 있었다면 민감 정보가 타인에게 전달되는 사고는 막을 수 있었을 것”이라고 짚었다.

보안 전문가인 윤인수 카이스트(KAIST) 전기및전자공학부 교수는 “기본적으로 순수한 온디바이스 AI만 활용한다면 외부 유출 가능성은 거의 없다”면서도 “서비스 연결성을 위해 서버를 매개로 데이터를 전송하고 저장하는 구조를 택했고, 이 과정에서 실수가 발생해 정보가 노출된 것으로 보인다”고 분석했다.

학계 전문가 “데이터 저장 방식에 대한 이용자 인식도 문제”

또한 이번 사태는 LG유플러스가 편의를 위해 설계한 ‘서버 저장 방식’을 이용자들이 얼마나 인지하고 있었는가에 대한 쟁점으로도 이어진다. 이용자 입장에서는 개인정보가 서버에 저장된다는 사실 자체를 몰랐을 가능성도 있기 때문이다.

윤인수 교수는 이 부분을 짚으며 “이용자들이 서버에 데이터가 저장되는지 알고 있었는지가 중요하다”고 강조했다. 그는 “소비자들은 ‘온디바이스 AI’라는 설명을 들었을 때 통화 내용이 서버에 아예 전송되지 않는다고 인식할 가능성이 있다”며 “기업이 서비스 편의를 위해 통화 내역 등을 서버에 저장하도록 설계했다면, 서비스 홍보 내용과 실제 구동 방식이 달라 이용자는 이를 기만으로 받아들일 가능성도 있다”고 우려했다.

이어 “AI 서비스는 더 방대하고 다양한 민감 정보를 다루는 만큼 이런 위협에 대비한 안전장치를 더욱 촘촘하게 설계하고, 개인정보 처리방식에 대해서도 단순 고지를 넘어 이용자들이 더 잘 알 수 있게 하는 노력이 필요하다고 본다”고 덧붙였다.

한편, LG유플러스는 사고 인지 후인 지난 6일 관련 규정에 따라 개인정보보호위원회에 유출 사실을 신고했다. LG유플러스 관계자는 “현재 조사가 진행 중인 사안이라 사고 경위에 대해 추가 언급은 어렵다”면서도 “개발 과정 상의 직원의 실수로 확인된 만큼, 이후에는 유사한 사고가 발생하지 않도록 개선할 예정”이라고 말했다.

글. 바이라인네트워크
<곽중희 기자> god8889@byline.network