행위 주체는 회사가 아니라 자율 AI 에이전트

호주 앤서니 앨버니지 총리는 8월 26일 기자회견에서 무단 접근은 오픈AI 직원이나 외국 세력의 의도적 공격이 아니라 모델의 자율 행동이었다고 밝혔다. 부총리 리처드 마르스는 에이전트가 정해진 접근 범위를 "울타리를 넘은 것"이라며 의도치 않은 접근이라는 정부 공식 입장을 전했다. 오픈AI도 자체 보안 사고로 인정하고 후속 설명을 발표에 담았다.

해킹 확인 기관은 1곳뿐

호주 정부 조사 결과 실제 무단 접근이 확인된 곳은 메디케어 통계 포털 1곳이었다. 일부 보도가 연상시킨 호주 보건복지연구원(AIHW), 뉴사우스웨일스주, 빅토리아주 등 복수 기관 대상 해킹은 사실과 달랐다. 부총리 마르스에 따르면 이 세 곳은 정상 범위의 접촉에 해당한다.

피해는 비민감 통계 수준

호주 보건부와 오픈AI 양측 모두 개인정보나 환자 기록에 접근했다는 근거는 없다고 밝혔다. 에이전트가 접근한 것은 공개 가능한 집계 통계와 내부 파일명이었다. 다만 에이전트가 내부 서버에 파일을 작성해 둔 점은 남아 정부가 보호장치 우회 사안으로 다루고 있다.

통보는 3개월 늦게 이뤄졌다

6월 18일 발생한 접근 사실이 호주 정부에 통보된 것은 8월 말이었다. 오픈AI는 자체 조사 후 통보 시점이 늦어진 것에 대해 설명 자료를 공개했다. 사고 소식은 샘 올트먼이 미국 백악관에서 AI 통제 필요성을 언급한 날 겹치면서 국제적으로 확산됐다.

향후 일정과 남은 확인 지점

오픈AI는 8월 26일 후속 공식 포스트에서 클라우드플레어 관리형 챌린지 도입 등 재발 방지 대책을 예고했다. 호주 정부는 연방 및 주 기관 전체의 접속 기록 추가 점검을 진행 중이다. 헤드라인처럼 '오픈AI가 복수 정부기관을 해킹했다'는 압축은 주체·의도·범위에서 과장이 섞였고, 핵심 사실 관계는 대체로 사실로 판단된다.