"이용자 채팅기록 등 민감정보 데이터베이스 노출…보안 취약"

美보안기업 "정부 연계 기업들 딥시크 접속 차단"

중국 인공지능(AI) 스타트업 딥시크의 데이터베이스 중 일부가 인터넷에 노출돼 이용자의 채팅 기록 등 개인정보 관련 데이터 100만건 이상이 유출됐을 가능성이 제기됐다.

31일 IT 업계와 외신에 따르면 이스라엘의 클라우드 보안업체 위즈(Wiz)의 갈 나글리 연구원은 공식 블로그를 통해 "딥시크의 '클릭하우스(ClickHouse) 데이터베이스'가 인터넷에 노출된 것을 발견했다"며 "채팅 기록, API(애플리케이션 프로그래밍 인터페이스) 인증 키, 시스템 로그 등 100만 건 이상의 민감한 내용을 포함하고 있었다"고 말했다.

나글리 연구원은 "클릭하우스라는 데이터베이스는 인증 절차 없이 몇 분 만에 접근할 수 있었고 운영 통제도 가능했다"며 "이 같은 정보 노출은 딥시크 자체 보안은 물론 이용자들에게도 중대한 위험을 초래할 수 있다"고 경고했다.

위즈는 해당 보안 평가 내용을 딥시크에 알렸고, 현재 딥시크는 보안 취약점을 개선한 것으로 전해졌다.

사이버보안 기업 아르미스의 나디르 이즈라엘 최고기술책임자(CTO)는 자사 고객사 10곳 중 7곳이 딥시크 접속 차단에 나섰다고 밝혔다.

이즈라엘 CTO는 "미국 정부와 연계한 기업들이 중국 정부로의 잠재적 데이터 유출 가능성과 개인정보 보호 취약성을 우려해 직원들의 딥시크 접속을 차단하고 있다"고 전했다.

실제 딥시크의 개인정보 보호 약관 등에 따르면 AI 모델 학습을 위해 중국 내 서버에 이용자들이 입력한 키보드 패턴·텍스트·오디오 등 데이터를 수집하고 회사 재량으로 정보를 법 집행기관·공공 기관과 공유할 수 있다고 명시하고 있다.

또 딥시크 이용에 따른 개인정보 보호 관련 분쟁은 중국 법에 따른다고 돼 있다.

하정우 네이버(035420) 클라우드 AI 이노베이션 센터장도 딥시크와 관련 "수집하는 정보가 매우 많다"고 경고한 바 있다.

하 센터장은 "(딥시크가) 사용 장비 정보는 물론 키보드 입력 패턴이나 리듬, IP 정보, 장치 ID 등은 기본에 쿠키까지 (수집한다)"며 "수집한 사용자 정보를 중국 내에 있는 보안 서버에 저장한다는 점들을 고려해서 사용해야 할 것"이라고 했다.