정부 통계 포털에 닿은 AI 에이전트, 호주의 대응은 왜 더 정교해야 하나 > 시사컬럼

정부 통계 포털에 닿은 AI 에이전트, 호주의 대응은 왜 더 정교해야 하나

오픈AI 에이전트가 호주보건복지연구소(AIHW), 빅토리아주 보건부, 뉴사우스웨일스 범죄통계연구국, 서비스 오스트레일리아의 메디케어 통계 보고 포털에 접근한 사실은 AI 시대의 보안 문제가 더 이상 먼 미래의 가정이 아니라는 점을 보여준다. 이번 사안의 핵심은 특정 기업의 기술을 비난하는 데 있지 않다. 사람의 클릭과 입력을 전제로 설계된 공공 웹 환경이, 스스로 목표를 설정하고 반복 실행할 수 있는 AI 에이전트 앞에서 어떤 취약점을 드러내는지에 있다.

정부가 관련 통계 웹사이트를 폐쇄하고 새 포털로 이전한 것은 우선 필요한 조치다. 조사도 진행 중인 만큼, 실제로 어떤 범위의 정보가 열람·수집됐는지와 개인정보 유출이 있었는지는 확인된 사실과 추정을 구분해 공개해야 한다. ‘통계 포털’이라는 표현만으로 위험성을 가볍게 볼 수도 있지만, 여러 데이터가 결합되면 개인이나 특정 집단의 정보가 유추될 가능성이 생긴다. 공개 데이터와 보호해야 할 데이터의 경계가 기술적으로 제대로 관리됐는지가 중요하다.

자동화된 접근은 기존 보안의 전제를 바꾼다

기존의 사이버보안은 악성코드, 계정 탈취, 서비스 마비 공격처럼 비교적 익숙한 위협에 대응해 왔다. 그러나 AI 에이전트는 공개 웹페이지를 빠르게 탐색하고, 수많은 요청을 반복하며, 여러 경로의 정보를 연결할 수 있다. 겉으로는 일반 이용자의 접속처럼 보이는 활동도 대규모·자동화된 방식으로 이어질 수 있다는 뜻이다.

따라서 공공기관은 단순히 로그인 화면을 강화하는 수준을 넘어, 비정상적인 대량 조회와 반복 요청을 탐지하는 체계, 자동화 도구의 접근 범위를 제어하는 장치, 데이터 내려받기와 검색 기능의 권한 설계를 함께 점검해야 한다. 특히 보건, 복지, 범죄, 사회보장 통계는 공익적 공개 가치가 크지만, 그 공개 방식이 재식별 위험을 키우지 않는지도 지속적으로 검토할 필요가 있다.

이 과정에서 ‘공개 정보이니 보호가 필요 없다’는 접근도, ‘위험하니 모두 닫아야 한다’는 대응도 적절하지 않다. 시민과 연구자는 정부 통계에 접근할 권리가 있고, 정책의 투명성은 신뢰의 기반이다.

정부의 과제는 공개를 후퇴시키는 것이 아니라, 사람이 읽고 활용할 수 있는 개방성과 기계가 무차별적으로 수집·결합하는 접근을 구분할 수 있는 운영 기준을 마련하는 데 있다.

신고와 설명의 속도가 신뢰를 좌우한다

정부가 AI 관련 데이터 유출에 대한 의무 보고 제도 도입 가능성을 언급한 대목도 주목할 만하다. 사고가 발생했을 때 기관과 기업이 언제, 누구에게, 어느 수준까지 알려야 하는지 명확하지 않으면 피해 범위를 파악하는 시간도 길어진다. AI가 관여한 사고는 기존 침해사고와 달리 접근 주체, 수집 경로, 재사용 가능성을 추적하기가 더 복잡할 수 있다.

다만 의무 보고는 발표를 위한 절차가 되어서는 안 된다. 국민에게는 접근된 정보의 성격, 확인된 피해 여부, 아직 조사 중인 부분, 개인이 취할 수 있는 조치를 명료하게 알려야 한다. 불확실한 사안을 단정하지 않는 태도와, 불편한 사실을 늦추지 않는 태도가 함께 필요하다.

신뢰는 사고가 없을 때보다 사고 뒤에 얼마나 정확하고 성실하게 대응하느냐에 따라 크게 달라진다.

서비스 오스트레일리아의 사이버보안 개선 예산 일부가 이번 대응에 활용될 예정인 것도 의미가 있다. 그러나 예산의 크기만으로 보안 역량이 완성되지는 않는다. 노후 시스템의 구조 개선, 외부 보안 점검, 기관 간 정보 공유, 담당 인력의 전문성, 사고 대응 훈련이 함께 작동해야 한다. 새로운 포털을 만드는 일보다 더 어려운 과제는 그 포털이 몇 년 뒤 등장할 또 다른 자동화 기술에도 견딜 수 있도록 운영하는 일이다.

이번 사건은 AI를 공공서비스에서 배제해야 한다는 근거라기보다, AI 시대에 맞춰 정부가 데이터 관리의 책임을 다시 설계해야 한다는 경고에 가깝다. 기술은 빠르게 바뀌지만 시민의 개인정보와 공공 데이터에 대한 정부의 책무는 바뀌지 않는다. 조사 결과가 나올 때까지는 섣부른 단정 대신 사실을 확인하되, 정부는 이번 일을 계기로 공개 데이터, 민감 정보, 자동화 접근, 사고 공지의 기준을 더 촘촘하게 정비해야 한다.