ChatGPT, OpenAI 및 기타 8개 AI 비서들이 사용자의 비공개 데이터를 비밀리에 추적

ChatGPT를 포함한 웹 브라우저에 내장된 AI 비서들이 많은 사람들이 비공개라고 가정하는 사이트에서 민감한 개인 정보를 수집하고 있다는 새로운 연구가 영국과 이탈리아의 팀에 의해 밝혀졌다.

연구원들은 OpenAI의 ChatGPT, Microsoft Copilot, Google Chrome용 Merlin AI를 포함한 10개의 인기 있는 AI 지원 브라우저 및 확장 프로그램을 검토하고, 대학의 건강 기록 시스템과 같은 공개 웹사이트와 비밀번호로 보호된 포털 모두에서 테스트를 수행했다.

비공개 사이트가 ChatGPT 및 유사한 도구들에게 정보를 노출

연구 결과는 충격적이었다. 이는 10개 중 9개 도구가 의료 기록, 은행 세부 정보, 학업 성적표, 심지어 사회보장번호를 포함한 개인 데이터를 수집하고 전송했다는 것을 드러냈다.

Perplexity AI는 이러한 데이터를 수집하지 않은 유일한 도구로 나타났다.

“이러한 어시스턴트들은 우리가 이전에 본 적 없는 수준의 온라인 활동 접근 권한을 가지고 있습니다.”라고 연구의 수저자이자 런던대학교 유니버시티 칼리지(UCL)의 조교수인 안나 마리아 만달라리가 말했습니다.

“이들은 작업을 더 빠르고 쉽게 만들어주지만, 우리의 증거는 때때로 이것이 프라이버시 희생과 함께 온다는 것을, 그리고 일부 경우에는 법을 위반할 수 있음을 보여줍니다.”

만달라리.

테스트를 수행하기 위해 연구진은 일상적인 브라우징, 온라인 쇼핑, 의료 결과 확인, 은행 계좌 로그인을 모방한 후, 어시스턴트에게 “가장 최근의 의료 방문 이유는 무엇이었나요?”와 같은 후속 질문을 했습니다.

사용자의 브라우저, AI 회사의 서버, 제3자 추적기 간을 오가는 데이터를 가로채고 디코딩하는 과정에서 연구원들은 일부 어시스턴트가 여전히 supposedly secure(보안상 안전하다고 여겨지는) 사이트에서 전체 페이지 콘텐츠를 수집하고 전송한다는 사실을 발견했습니다.

Merlin의 경우 연구원들은 건강 기록, 은행 세부 정보, 시험 결과, 납세자의 사회보장번호를 포함하는 민감한 데이터의 혼합체를 발견했다.

Peers Sider의 AI 어시스턴트와 TinaMind는 사용자 프롬프트를 Google Analytics로 전송하고 IP 주소와 같은 필수 정보를 식별하는 것으로 관찰되었습니다. 이러한 데이터는 타겟팅 광고 및 크로스 사이트 트래킹에 사용될 수 있습니다.

연구진에 따르면 Copilot과 Monica와 같은 다른 어시스턴트들은 세션이 종료된 후에도 브라우저에 전체 채팅 로그를 조용히 보관했습니다.

특정 브라우저 통합을 통해 접근할 때, OpenAI의 ChatGPT는 사용자의 추정 연령, 소득 수준, 성별 및 관심사를 기반으로 사용자를 프로파일링한 후 이에 맞춰 답변을 맞춤화했습니다.

“수집된 후 이 정보가 어디로 흘러가는지 사용자들이 알 수 있는 명확한 방법은 단순히 존재하지 않습니다.”라고 만달라리가 경고했습니다.

최근 OpenAI CEO 샘 올트먼은 ChatGPT와 같은 챗봇을 특정 목적으로 사용할 때 실제 의사나 변호사와 같은 일부 프라이버시 보호 장치가 없기 때문에 신중해야 한다고 경고하며 프라이버시 우려를 제기했다.

AI 도구가 법을 위반하고 있을까요?

이 연구는 미국에서 수행되었지만, 연구진은 일부 AI 어시스턴트가 미국과 유럽의 프라이버시 법규를 위반했을 가능성이 있다고 결론지었습니다. 미국에서는 특정 사례가 의료 정보 보호 규칙을 위반한 것으로 보였으며, EU에서는 개인 데이터의 저장 및 공유에 엄격한 제한을 둔 일반 데이터 보호 규정(GDPR) 잠재적 위반 가능성을 시사하는 소견이 나왔습니다.

기업들이 프라이버시 고지서를 게시하는 경우조차도, 작은 글씨의 조항은 놀라울 수 있습니다. 예를 들어 Merlin의 EU 및 UK 정책은 이름, 연락처 세부 정보, 로그인 자격 증명, 거래 기록, 결제 정보 및 입력된 모든 텍스트를 수집할 수 있는 데이터로 명시하고 있습니다. 이는 개인화, 고객 지원 또는 법적 준수를 위해 사용될 수 있다고 말합니다.

Sider도 유사한 고지 사항을 추가하며, 사용자 데이터가 “인사이트”를 얻거나 새로운 서비스 개발을 돕기 위해 분석될 수 있다고 밝혔습니다. Google, Cloudflare, Microsoft를 가능한 데이터 수신자로 명시하며, 파트너들이 개인 정보를 보호하기 위해 계약에 구속되어 있다고 안심시켰습니다.

OpenAI의 자체 약관은 UK 및 EU 사용자의 데이터가 해당 지역 외부에 저장됨을 확인하지만, 회사는 사용자 권리가 영향을 받지 않는다고 말합니다.

“이 제품들은 웹 사용 속도를 높이고 똑똑하게 만든다고 홍보됩니다.”라고 그녀는 말했습니다. “하지만 그 이면에서 일어나는 일은 종종 온라인에서의 사적인 생활에 대한 상세한 기록입니다.”

규제 기관들이 데이터 보호 규칙을 강화하고 기술 기업들이 인터넷의 모든 구석에 AI를 통합하기 위해 서두르는 가운데, 이러한 도구에 대한 감시는 증가할 것으로 보입니다.

현재로서 연구진은 신중함을 권고합니다. Perplexity AI는 테스트에서 프라이버시 함정을 피했지만, 대부분의 다른 어시스턴트는 그렇지 않았습니다. “온라인에서 당신이 하는 모든 것을 AI가 보게 한다면,” 만달라리가 말했습니다. “어딘가에서, 어떤 방식으로든 그 정보가 저장되고, 아마도 공유되고 있을 것이라고 가정해야 합니다.”