악성 AI 도구의 정체
캘리포니아에 사는 라이언 미첼 크레이머(Ryan Mitchell Kramer, 25세)라는 남성이 이번 사건의 중심에 있습니다. 그는 컴퓨터에 무단 접근하여 정보를 얻고, 보호된 컴퓨터를 손상시키겠다고 위협한 혐의에 대해 유죄를 인정했습니다. 크레이머는 ‘널벌지(NullBulge)’라는 가명으로 활동하며 깃허브(GitHub)에 AI 생성 아트를 만드는 것처럼 보이는 앱을 올렸다고 합니다. 하지만 이 앱에는 설치한 컴퓨터에 접근 권한을 주는 악성 코드가 숨겨져 있었습니다.
VPNMentor의 연구 결과에 따르면, 크레이머가 사용한 프로그램은 컴피UI(ComfyUI)라는 유명 이미지 생성기의 확장 기능처럼 위장한 ‘컴피UILLM비전(ComfyUI LLMVISION)’이라는 이름의 가짜 도구였습니다. 이 가짜 확장 기능은 설치된 컴퓨터에서 비밀번호, 결제 카드 정보 등 민감한 데이터를 복사해 크레이머가 운영하는 디스코드(Discord) 서버로 몰래 전송하는 기능이 포함되어 있었다고 해요. 악성 코드를 감추기 위해 오픈AI(OpenAI)나 앤트로픽(Anthropic) 같은 유명 AI 회사 이름을 사용한 파일명으로 위장하는 치밀함까지 보였습니다.
디즈니 직원이 당한 피해
피해를 입은 디즈니 직원은 2024년 4월, 문제의 컴피UI LLM비전을 다운로드했습니다. 이 순간부터 크레이머는 직원의 컴퓨터와 온라인 계정에 무단으로 접근할 수 있게 되었습니다. 그는 심지어 디즈니의 비공개 슬랙(Slack) 채널까지 들여다볼 수 있었습니다.
2024년 5월, 크레이머는 수천 개의 슬랙 채널에서 약 1.1테라바이트(TB)에 달하는 엄청난 양의 기밀 데이터를 다운로드했습니다. 이 데이터에는 디즈니의 내부 자료뿐만 아니라, 해당 직원의 은행 정보, 의료 기록, 기타 개인 정보까지 고스란히 포함되어 있었다고 합니다.
협박과 데이터 공개, 그리고 결국…
데이터를 훔친 후, 크레이머는 7월 초에 피해 직원에게 연락해 자신이 해커 그룹의 일원인 것처럼 꾸몄습니다. 하지만 직원으로부터 아무런 응답이 없자, 그 달 말에 훔쳤던 모든 정보를 인터넷에 공개적으로 유출해 버렸습니다. 여기에는 디즈니 기밀 자료와 직원의 민감한 개인 정보가 모두 포함되어 있었습니다.
크레이머는 유죄 인정 합의 과정에서 이 악성 소프트웨어를 설치한 다른 두 명의 피해자 컴퓨터와 계정에도 무단 접근했음을 시인했습니다. 현재 미국 연방수사국(FBI)이 이 사건을 계속 조사하고 있다고 합니다. 크레이머는 조만간 법정에 처음 출두할 예정이라고 하네요.
마무리하며
이번 사건은 AI 관련 도구를 포함해 출처가 불분명하거나 검증되지 않은 소프트웨어를 함부로 설치하는 것이 얼마나 위험한 결과를 초래할 수 있는지 잘 보여줍니다. 편리해 보이는 도구 뒤에 숨겨진 악의적인 의도가 있을 수 있다는 점을 항상 경계해야 할 것 같습니다.