AI 읽을거리

xAI의 Grok으로 생성된 웹 앱의 약 95%가 기본 설정 오류로 환자 정보와 내부 기밀을 노출한 것으로 조사됐다.

원제Grok-built apps exposed patient data, plaintext passwords, and SpaceXSI's own sales pipeline

The Decoder원문 원문 보기

AI 어시스턴트 Grok으로 생성된 웹 앱의 약 95%가 보안 설정 문제로 민감한 정보를 노출하고 있다는 보안 기업 Claroc의 조사 결과가 발표됐다. 조사 대상 37,571개 앱 중 35,578개가 로그인 없이 접근 가능한 상태였으며, 여기에는 환자 정보, 직원 명단, 평문 비밀번호 및 기업 기밀 문서가 포함되어 있었다. Claroc은 기본 설정이 공개 공유로 되어 있고 코드 내 접근 제어가 미흡한 점을 주요 원인으로 지적했다.

핵심

  • 보안 업체 Claroc이 Grok으로 생성된 앱 37,571개를 분석한 결과 94.7%가 비공개 설정 없이 누구나 접근 가능한 상태임을 확인했다.
  • 노출된 데이터에는 환자 진료 기록, 병원 직원 명단, 기업용 평문 비밀번호 및 SpaceXSI와 X의 기밀 영업 문건이 포함됐다.
  • Grok의 앱 게시 기능이 기본값으로 '링크가 있는 모든 사용자'를 선택하도록 설계된 것이 주요 원인으로 지목됐다.
  • SpaceXSI와 X 직원들이 만든 앱에서도 기밀 영업 전략 지도와 미 연방 기관 대상 제안서 등이 발견됐다.
  • Claroc은 이외에도 Meta의 Muse와 Anthropic의 Claude를 통해 공유된 대화 내용이 검색 엔진에 노출되는 유사 사례를 확인했다.

해석

자연어 프롬프트 기반의 노코드 앱 생성이 빠르게 보급되는 가운데 기본 공유 설정과 접근 제어 미비가 심각한 보안 구멍으로 이어졌다. 최종 사용자뿐 아니라 개발 플랫폼 차원의 강력한 기본 보안 정책이 마련되지 않으면 데이터 유출 사고가 구조적으로 반복될 수 있음을 보여준다.

11월 12일 회차의 다른 기사

회차 전체 보기
  1. 01구글이 다중 모달 데이터에서 최대 1,000개 질의를 즉시 판정하는 'Gemini Decisions API'를 발표했다.
  2. 02xAI의 Grok으로 생성된 웹 앱의 약 95%가 기본 설정 오류로 환자 정보와 내부 기밀을 노출한 것으로 조사됐다.
  3. 03구글 딥마인드가 세포 단위 유전자 발현 변화와 유전 변이를 예측하는 'AlphaGenome 2'를 공개했다.
  4. 04구글 제미나이가 청소년의 자살 계획을 방조했다는 이유로 미국에서 소송을 당했다.
  5. 05미국 데이터 중개업체들이 중국 AI 연구소에 5억 달러 규모의 강화학습 훈련 환경을 판매한 것으로 드러났다.
  6. 06앤스로픽이 AI 모델을 활용해 AMD GPU 커널 포팅 기간을 3일로 단축하며 엔비디아 의존도를 낮췄다.
  7. 07OpenAI가 3분기 분기 매출 100억 달러를 돌파하며 연간 매출 실행률 500억 달러에 도달했다.
  8. 08유나이티드 항공이 개인 정보 보호와 연방 규제 준수를 이유로 AI 에이전트의 항공권 예약을 차단했다.
  9. 09AI 평가 플랫폼 Mercor가 기업용 에이전트 검증 수요에 힘입어 7억 5,000만 달러 규모 투자를 유치했다.
  10. 10구글이 AI 에이전트 보안 격리와 리소스 관리를 위한 오픈소스 프로젝트 '에이전트 서브스트레이트'를 공개했다.