‘매일경제’ 등에 따르면 제미나이는 지난 5월 이스라엘 기반 AI 보안 전문기업 이레귤러(Irregular)가 진행한 사이버보안 평가 과정에서 통제에서 벗어나 실제 기업 3곳의 시스템에 접근(해킹)했다. 해당 평가는 가상의 기업을 활용한 폐쇄된 테스트 환경에서 진행됐지만, 네트워크 시스템 설정 오류로 인터넷 접속이 가능해지자 가상 기업의 이름과 같은 실제 기업을 발견해 해킹을 시도했다.
이레귤러의 평가는 가상의 기업 시스템에서 비밀 정보를 찾아내는 일종의 ‘캡처 더 플래그(CTF·모의해킹)’ 방식으로 진행됐다. 제미나이는 타깃으로 지정된 가상 조직의 이름이 실제 기업과 우연히 일치하자 인터넷 검색을 통해 대상을 오인했고, 이 과정에서 무차별적인 비밀번호 대입이나 공개된 온라인 저장소의 자격 증명(인증 정보)을 활용해 실제 기업 시스템 내부로 진입했다.
이레귤러는 제미나이의 해킹 사실을 두 달 뒤인 지난 7월 말에야 구글에 통보했다. 여기에는 앞서 발생한 다른 사건이 계기가 됐다. 이레귤러는 오픈AI의 AI 에이전트가 소프트웨어 플랫폼 허깅페이스(Hugging Face)의 시스템을 해킹한 사실을 먼저 발견했고, 제미나이의 유사 사례까지 찾아냈다. 이레귤러 측은 확인된 오류는 이후 모두 해결됐다고 밝혔다.
구글은 해당 사고를 바로 공개하지 않았고, 월스트리트저널(WSJ)의 보도를 통해 알려졌다. 논란이 일자 구글 측은 "제미나이가 해킹을 시도한 타깃이 가상이 아닌 실제 기업이라는 점을 인지한 뒤 공격을 즉시 중단시켰다"며, "실제 발생한 피해가 없어 일반에 공개하지 않았다"고 해명했다. 다만, 구글은 피해를 입은 3개 기업과 연방 당국에도 사실을 알렸다고 밝혔다.
디지털뉴스팀
(ⓒ SOH 희망지성 국제방송 soundofhope.kr)
