이탈리아와 아일랜드, 애플 및 구글 기기에서 DeepSeek 금지

논란의 여지가 있는 중국 AI 챗봇 딥시크(DeepSeek)가 이탈리아와 아일랜드에서 더 이상 다운로드할 수 없게 되었습니다. 양국은 1월 29일 개인 데이터 처리 방식에 대한 질문에 회피하고 중국 정부의 사용자 정보 접근에 대한 우려를 불러일으켰다는 이유로 애플과 구글 스토어에서 해당 앱을 제거했습니다.

규제 당국은 회사에 답변을 요구하고 있으며, 그 태도는 결코 우호적이지 않습니다. 이탈리아에서 챗봇을 다운로드하려는 사용자는 애플 기기에서 “현재 귀하가 있는 국가 또는 지역에서는 사용할 수 없습니다”와 같은 메시지를 받았습니다.

구글 사용자들도 직설적인 “다운로드 지원 안 됨” 안내를 받았습니다. 로이터 통신의 조사 결과 딥시크가 구글 스토어에서 사라진 것이 확인되었습니다. 그러나 1월 29일 가디언에 따르면, 최소 한 명의 애플 사용자는 여전히 접근 권한을 보유하고 있었습니다. 보고서 가디언.

딥시크의 disappearance는 미국과 영국에서 애플 스토어에서 가장 많이 다운로드된 무료 앱으로 급부상한 직후입니다. 불과 일주일 전에 출시된 이 앱은 ChatGPT에 버금가는 AI 성능을 제공하면서도 비용은 훨씬 저렴했습니다. 이러한 급성장은 공포를 불러일으켜 단 하루 만에 미국 주식 시장 시가총액에서 1조 달러 이상을 증발시켰습니다.

규제 당국은 데이터 저장 및 접근 방식에 대한 답변을 요구합니다

이탈리아의 개인정보 보호 감독 기관인 가란테(Garante)는 딥시크에 개인 데이터를 어떻게 수집하는지, 어디에 저장하는지, 그리고 그중 일부가 중국 영토에 저장되는지 여부를 20일 이내에 설명할 것을 요구했습니다. “우리의 사무실은 GDPR 규칙이 준수되고 있는지 확인하기 위해 심층 조사를 시작할 것입니다.”라고 이탈리아 뉴스 매체 ANSA를 통해 1월 29일 기관장 파스콸레 스탠치오네(Pasquale Stanzione)가 말했습니다.

가란테는 구체적인 사항을 원합니다. 어떤 데이터가 수집되는지, 이를 허용하는 법적 근거는 무엇인지, 그리고 사용자를 보호하기 위해 어떤 조치가 취해지고 있는지 등입니다. 만약 회사가 협력하지 않으면, 이탈리아는 유럽의 일반 데이터 보호 규정(GDPR)에 따라 가혹한 처벌을 가할 수 있습니다.

아일랜드의 데이터 보호 위원회(DPC)도 자체 조사를 시작했습니다. 가디언의 보도에 따르면, 그들은 딥시크가 아일랜드 시민과 관련된 데이터를 어떻게 처리하는지에 대한 상세한 내역을 요청했습니다.

보고된 바에 따르면, 이 조사는 사용자 정보가 부적절하게 처리되거나 적절한 보호 장치 없이 중국으로 전송되고 있는지 여부에 초점을 맞추고 있습니다.

딥시크의 개인정보 보호 정책이 사용자 데이터를 “중국 인민공화국에 위치한 보안 서버”에 보관한다고 명시하고 있다는 사실이 알려지면서부터 개인정보 보호에 대한 우려가 고조되어 왔습니다. 한편 영국 정부는 더 소극적인 접근 방식을 취하고 있습니다.

영국 관리들은 앱을 사용할지 여부를 시민들에게 맡기겠다고 밝혔습니다. 하지만 심각한 보안 위험이 발생할 경우 신속하게 조치하겠다고 약속했습니다.

중국의 국가 정보법은 이러한 우려를 덜어주지 못합니다. 해당 법률에 따르면 모든 중국 기업, 조직 및 시민은 정부 정보 수집 활동에 협조해야 합니다. 비판론자들은 이로 인해 딥시크가 경고 없이 민감한 사용자 데이터를 제공해야 할 수도 있다고 우려합니다.

Wiz Research, 딥시크의 데이터베이스가 완전히 노출됨 발견

규제 당국이 개인정보 침해 문제에 집중하는 동안, 보안 연구자들은 딥시크에게 또 다른 악몽을 안겨준 사건을 발견했습니다. 인터넷상의 누구나 접근할 수 있도록 사용자 데이터가 완전히 노출되어 있는 것입니다.

Wiz Research는 딥시크의 디지털 인프라를 조사했고 주장합니다 공개적으로 접근 가능한 ClickHouse 데이터베이스를 발견했습니다. 이 데이터베이스에는 비밀번호나 인증 시스템, 보호 장치가 전혀 없었습니다. 

“몇 분 만에 우리는 민감한 정보에 대한 전체 접근 권한을 확보했습니다.”라고 Wiz 팀은 말했습니다. 이 데이터베이스는 oauth2callback.deepseek.com:9000 및 dev.deepseek.com:9000에 호스팅되어 있었으며, 둘 다 딥시크의 핵심 시스템과 직접 연결되어 있었습니다.

ClickHouse는 고속 데이터 처리를 위해 설계되었으며, 일반적으로 로그, 채팅 기록 및 백엔드 운영 세부 정보를 저장하는 데 사용됩니다. 그러나 Wiz 보고서에 따르면 이를 보호 없이 방치하는 것은 주요 보안 위협을 초래했습니다.

Wiz는 어떤 종류의 데이터를 발견했을까요? 막대한 양이었습니다. 데이터베이스에는 채팅 기록, API 시크릿, 백엔드 운영 데이터 및 민감한 로그 스트림이 포함되어 있었습니다. 웹 인터페이스를 통해 간단한 SHOW TABLES; 명령을 실행하면 모든 것이 드러났습니다.

더욱 심각한 것은 노출된 데이터베이스가 표준 웹 브라우징에 국한되지 않았다는 점입니다. Wiz 연구자들은 딥시크가 열어둔 비표준 HTTP 포트(8123 및 9000)를 스캔하여 이 취약점을 발견했습니다. 이 실수로 인해 팀은 별다른 노력 없이 브라우저를 통해 데이터베이스에 접근할 수 있었습니다.

딥시크가 이미 충분히 복잡한 상황에 처해 있는 것과는 별개로, 오픈AI(OpenAI)는 딥시크를 도둑질 혐의로 기소했습니다. 미국의 AI 거대 기업은 딥시크가 ‘디스틸레이션(distillation)’이라는 방법을 통해 자신의 기술을 훔쳤을 가능성이 있는 증거가 있다고 주장합니다. 디스틸레이션은 크고 복잡한 AI 모델을 더 작고 효율적인 버전으로 축소하는 과정을 포함합니다.

“우리는 중국 내 일부 그룹이 디스틸레이션을 사용하여 우리 모델을 복제하려고 노력하고 있다는 것을 알고 있습니다.”라고 오픈AI는 말했습니다. “우리는 공격적인 대응 조치를 취하고 있으며, 미국 정부와 긴밀히 협력하여 우리의 기술을 보호하고 있습니다.”