OpenAI 임원 회의실 녹음장치 사건, 물리 보안 경고

FBI 체포와 제기된 혐의

미 법무부에 따르면 FBI는 OpenAI 직원인 압둘라흐만 알포잔을 구두 통신을 가로채기 위한 전자적·기계적 장치를 사용하거나 사용하려 한 혐의로 체포했다. 사우디아라비아 국적의 35세 알포잔은 10월 9일 체포됐으며, 연방법원에 처음 출석했다. 이 사건은 기소 단계에 있으며, 피고인은 법원의 유죄 판결이 확정되기 전까지 무죄로 추정된다.

수사당국이 공개한 고소장에 따르면 알포잔은 2025년 7월부터 OpenAI에서 엔지니어로 근무했다. 법무부와 FBI는 그가 회사 임원용 회의실에서 민감한 대화를 비밀리에 녹음하려 했다고 주장한다. 다만 이러한 내용은 수사기관의 고소장에 담긴 혐의와 주장으로, 재판에서 입증돼야 한다.

텔레비전 뒤에서 발견된 장치

OpenAI 직원들은 9월 30일 샌프란시스코 소재 건물 안의 임원 회의실에서 은밀한 음성 녹음장치를 발견했다고 법무부는 밝혔다. 해당 장치는 텔레비전 뒷면의 USB 포트에 꽂혀 있었고, 화장지로 가려져 있었다고 한다. 회사는 장치가 9월 28일께 설치된 것으로 판단했으며, 저장된 내용은 암호화돼 있었다고 고소장은 설명한다.

수사 문서에 따르면 이 회의실에서는 기밀성이 높은 기술, 상업 및 전략 관련 논의가 자주 이뤄졌다. 여기에는 독점 연구, 제품 계획, 사업 개발 기회, 기술 진전과 전략적 결정에 관한 비공개 정보, 역량과 우선순위, 정부와의 접촉, 상업 관계가 포함될 수 있었다. 이는 회의실의 중요성을 설명하는 수사기관의 진술이며, 실제로 어떤 대화가 녹음됐는지는 공개된 자료만으로 확정되지 않았다.

접근 권한과 CCTV 영상

법무부는 내부 CCTV 영상이 장치 발견 전 여러 날 동안 알포잔이 임원 회의실 근처에 있었던 것처럼 보인다고 밝혔다. 고소장에 따르면 그는 그 회의실에 접근하거나 그곳에서 열리는 회의에 참석할 권한이 없었다. 당국은 이 정황을 장치 설치 및 사용 의혹과 연결하고 있다.

또한 고소장은 알포잔이 9월 28일 이전 생산성 도구를 이용해 OpenAI 건물 주소, 회의실, 회의실 수용 인원과 일정, 경영진 및 임원 위치, 외부 파트너 회의에 대해 여러 차례 검색했다고 적시한다. 이런 검색 기록 역시 수사기관이 제시한 정황 증거이며, 그 의미와 맥락은 향후 사법 절차에서 검토될 사안이다.

챗봇 계정 관련 수사 주장

수사당국은 알포잔의 배우자와 연계된 챗봇 계정이 그의 계정과 여러 식별자와 특성을 공유했다고 주장했다. 고소장에 따르면 그 계정은 9월 24일부터 30일 사이 장치 제작, 맞춤 설정, 설치, 음성 녹음, 테스트, 은폐, 원격 접근과 관련된 질문을 제출했다. 와이파이 연결, 음질과 실시간 청취 개선, SD 카드 암호화에 관한 문의도 있었다고 한다.

법무부는 같은 계정에서 9월 27일부터 28일까지 첫 번째 녹음장치의 맞춤형 헤더와 고유 MAC 주소에 관한 질문도 나왔다고 밝혔다. 그러나 공개된 자료는 배우자에 대한 기소를 언급하지 않는다. 따라서 계정의 귀속과 각 질문의 법적 의미는 수사기관의 주장과 고소장 기록의 범위에서 신중하게 다뤄져야 한다.

두 번째 장치와 가방

고소장은 알포잔이 10월 5일 임원 회의실에 들어가 첫 번째 장치가 꽂혀 있던 텔레비전 뒤를 바라본 것으로 보인다고 주장한다. 이 장면은 CCTV에 포착됐다고 법무부는 설명했다. 날짜상 이는 그의 체포보다 나흘 앞선 시점이다.

같은 날 알포잔이 OpenAI 건물의 다른 방에 가방을 방치했다는 혐의도 제기됐다. OpenAI 보안 담당자들은 그 가방을 찾아 열었고, 지갑과 신분증 외에 첫 번째 장치와 유사한 두 번째 녹음장치를 발견했다고 수사 문서는 전한다. 이 역시 법무부가 제시한 혐의 사실이며, 피고인에게는 무죄 추정 원칙이 적용된다.

• 첫 번째 장치는 9월 30일 임원 회의실에서 발견됐다고 한다.
• 장치는 텔레비전 뒤 USB 포트에 연결돼 있었고 화장지로 가려져 있었다고 한다.
• CCTV는 피고인이 회의실 주변에 있었던 것으로 보인다는 수사기관의 설명에 포함됐다.
• 10월 5일 발견된 가방에는 유사한 두 번째 장치가 있었다고 고소장은 주장한다.

OpenAI의 입장과 확인되지 않은 범위

ZDNet France가 전한 OpenAI의 입장에 따르면 회사는 자사의 기술, 데이터 및 직원 보호를 매우 중요하게 여기며 이번 사안을 국가적 중요성을 지닌 문제로 다루고 있다. 회사는 피고인이 모델 가중치, 소스 코드 또는 고객 데이터에 접근했거나 이를 외부로 빼돌렸다는 징후를 찾지 못했다고 밝혔다.

이 회사의 설명은 중요한 제한점도 제시한다. 수사당국이 제기한 것은 회의실 대화의 비밀 녹음 시도 혐의이지, 공개된 자료만으로 모델 가중치나 소스 코드, 고객 데이터의 유출이 확인됐다는 뜻은 아니다. 따라서 기업의 진술, 수사기관의 혐의, 법원이 확정할 사실을 구분하는 것이 필요하다.

처벌 가능성과 수사의 진행

유죄가 인정될 경우 알포잔은 최대 5년의 징역형, 최대 25만 달러의 벌금, 그리고 3년의 보호관찰 처분을 받을 수 있다고 법무부는 밝혔다. 이는 법정 최고형에 관한 정보이며, 실제 형량은 유죄 여부와 재판 및 선고 절차에 따라 달라진다.

FBI가 사건을 수사하고 있으며, 캘리포니아 북부지구 연방검찰청과 법무부 국가안보부의 방첩 및 수출통제 부서가 기소를 맡고 있다고 법무부는 설명했다. 당국은 이번 기소가 초지능 기술에서 미국의 우위를 지원하기 위한 국가안보 대통령 메모랜덤 11호와 연계된다고 밝혔다.

AI 연구소의 물리 보안이 남긴 과제

이번 사건은 고성능 AI 개발 조직에서 디지털 보안만으로 기밀을 보호하기 어렵다는 점을 드러낸다. 민감한 연구, 제품 계획, 상업 협상, 정부 관계 논의는 컴퓨터 시스템이 아니라 회의실에서 구두로 이뤄질 수 있다. 그만큼 출입 권한, 회의실 장비 점검, 방문자와 직원의 물리적 동선 관리가 정보보호의 일부가 된다.

그러나 사건의 교훈을 과도하게 일반화해서는 안 된다. 공개된 자료는 특정 개인에 대한 혐의와 특정 공간에서 발견된 장치에 관한 것이다. 수사기관의 주장은 재판에서 검증돼야 하며, 국적이나 직업만을 근거로 광범위한 의심을 정당화하지 않는다. 보안 조치는 증거, 권한, 절차와 개인정보 보호 원칙에 기반해야 한다.

한국의 기업과 기관에 주는 의미

한국에서 AI 연구, 반도체, 소프트웨어, 국방 또는 민감한 사업 전략을 다루는 기업과 기관에는 물리적 회의 환경을 정보보호 체계에 포함시키라는 경고가 된다. 이 사건은 현지에서 같은 위협이 발생했다는 증거는 아니지만, 임원 회의실의 장비 포트, 접근 권한, 사용하지 않는 공간, 분실·방치 물품 처리 절차를 점검할 필요성을 보여준다. 동시에 내부 조사와 접근 제한은 법적 절차, 직원 권리, 무죄 추정의 원칙을 함께 지키며 운영돼야 한다.