메일·메시지·방문 기록까지 여는 맥 권한, 애플이 AI 에이전트 때문에 조입니다

AI 에이전트가 점점 유능하고 자율적이 될수록, 이 수준의 접근에 따르는 위험도 크게 늘어날 것입니다.— 애플, 개발자 뉴스 「Updates to Full Disk Access in macOS」 (10월 2일)

두 문단짜리 공지에서 애플은 개발자에게 강력한 API를 주면서 사용자의 개인 정보를 지키는 통제 장치를 함께 둬 왔고, 전체 디스크 접근 권한은 백업 앱이 맥에서 제대로 돌도록 그 통제를 대부분 비켜 가게 만든 권한이라고 설명했습니다. 이어 일부 개발자가 이 권한을 써서 사용자가 충분히 알지 못하는 사이에 파일과 메일, 메시지, 웹 방문 기록까지 드러내고 있고, 메신저 앱이라면 사용자와 대화하는 상대의 사생활도 위험해진다고 적었습니다.

공지는 한국 시각 3일 새벽 1시에 올라왔습니다. 애플은 앱이나 회사 이름을 들지 않았고, 대상 macOS 버전과 적용 시점도 적지 않았습니다. 로이터의 질문에는 공지 밖의 설명을 하지 않겠다고 답했고, 테크크런치와 더버지의 문의에도 답하지 않았습니다.

공지에 적힌 것과 빠진 것을 나누면 이렇습니다.

지금은 앱이 직접 물을 수 없는 권한

맥의 개인 정보 권한은 허락을 받는 방식이 두 가지로 나뉩니다. 애플 플랫폼 보안 안내서를 보면 데스크톱·문서·다운로드 폴더 같은 파일 접근이나 다른 앱에 명령을 보내는 자동화는 앱이 실행 중에 확인 창을 띄워 물을 수 있습니다. 반면 손쉬운 사용(화면과 입력을 대신 조작하는 기능)과 전체 저장장치 접근은 앱이 창을 띄워 물을 수 없고, 사용자가 시스템 설정에 들어가 직접 켜는 방식입니다.

맥 사용 설명서는 전체 디스크 접근 권한을 Mail, 메시지, Safari, 홈 같은 다른 앱의 데이터와 Time Machine 백업, 이 맥 모든 사용자의 특정 관리 설정까지 포함해 컴퓨터의 모든 파일에 접근하게 하는 권한으로 설명합니다. 켜는 곳은 Apple 메뉴의 시스템 설정에서 개인정보 보호 및 보안으로 들어간 화면이고, 목록 아래 더하기 단추로 앱을 골라 추가합니다. 애플 보안 안내서는 전체 저장장치에 접근하려는 앱을 사용자가 직접 추가하게 한 것이 macOS 10.13부터라고 적었습니다.

아이폰과 다른 점도 여기서 나옵니다. 로이터가 짚은 대로 아이폰과 아이패드에서는 앱마다 자기 데이터만 보도록 가두는 샌드박스 때문에 한 앱이 다른 앱 안의 데이터에 기본적으로 접근할 수 없습니다. 맥에는 클라우드 백업 같은 앱이 기기의 모든 데이터를 읽도록 사용자가 허락하는 길이 있고, 존 그루버는 아이폰에서는 모든 요청을 허락해도 메일이나 아이메시지를 읽게 하는 권한 자체가 없지만 맥에서는 모두 허락하면 시동 디스크의 거의 모든 것을 내주게 된다고 썼습니다.

메시지를 읽었다는 칼럼니스트, 읽을 수 없었다는 메타

공지는 이름을 들지 않았지만, 미국 언론 대부분은 메타의 개인 에이전트 Muse를 둘러싼 논란과 함께 이 소식을 전했습니다. 메타는 9월 8일 Muse를 내놓았고 9월 17일 맥 앱을 추가했습니다. 메타는 맥 앱이 파일을 정리하고 양식을 채우며 메시지·캘린더·메모 같은 앱에서 정보를 가져온다고 소개했습니다.

Inc. 칼럼니스트 제이슨 에이턴은 9월 19일 스레드에 Muse와 나눈 대화를 올렸습니다. 동료와 메시지 앱으로 나눈 대화를 Muse가 알고 칼럼거리로 제안했는데, 에이턴은 메시지 접근을 허락한 적이 없다고 했습니다. 어떻게 알았느냐고 묻자 Muse는 알림 미리보기만 봤을 뿐 메시지 기록은 읽지 않았다고 답했습니다. 그는 Inc. 칼럼에서 Muse가 맥의 메시지 데이터베이스를 데이터 원천으로 올리고 있었고, 자기 기기에서는 18만 7,462번째 행까지 동기화가 진행돼 있었다고 적었습니다.

메타는 이 주장을 부인했습니다. 메타 초지능연구소의 데이비드 싱글턴은 에이턴의 글에 단 답글에서 Muse가 메시지를 읽으려면 앱 안의 권한과 macOS 시스템 보호를 합친 세 단계를 거쳐야 하고, 앱에 버그가 있어도 이 단계는 건너뛸 수 없다고 설명했습니다. 전체 디스크 접근 권한이 꺼져 있으면 메시지 연결 설정이 회색으로 잠겨 있고, 권한을 켜려면 맥 시스템 설정에서 한 번 더 확인해야 하며, 그러면 Muse 앱이 다시 시작된다는 설명입니다. 싱글턴은 Muse가 「기기 알림을 동기화했다」고 답한 것은 기능을 잘못 설명한 것이라며 사과했습니다.

메타 커뮤니케이션 부사장 앤디 스톤도 한국 시각 9월 30일 오전 X에 같은 설명을 올렸습니다. 맥용 Muse의 메시지 연동은 사용자가 고르는 기능이고, 전체 디스크 접근 권한과 메시지 커넥터를 모두 켜야 메시지 내용을 읽을 수 있으며, 언제든 끌 수 있다는 내용입니다. 에이턴은 Muse가 메시지를 읽었을 때 전체 디스크 접근 권한이 꺼져 있었다고 했고, 두 주장 가운데 어느 쪽이 맞는지는 공개된 자료로 확인되지 않았습니다.

아스테크니카의 댄 구딘은 애플 공지가 나온 날, 애플의 설명이 커넥터 없이는 메시지를 읽을 수 없다는 메타의 해명과 어긋나 보인다고 썼습니다. 그가 인터뷰한 macOS 보안 연구자 패트릭 와들은 전체 디스크 접근 권한이 있으면 루트(시스템 관리자) 소유가 아닌 파일은 방문 기록과 브라우저 쿠키, 대화까지 모두 열어 볼 수 있다고 설명했습니다.

Muse 맥 앱이 나온 뒤 2주

에이턴의 글 뒤로 Muse를 둘러싼 일이 이어졌고, 같은 기간 ChatGPT 맥 앱의 취약점도 공개됐습니다.

아마존은 9월 20일 Muse의 쇼핑 대행을 막으면서, 고객을 대신해 다른 회사에서 물건을 사는 제3자 앱은 공개적으로 움직이고 참여 여부에 대한 서비스 회사의 결정을 존중해야 한다는 입장을 냈습니다. 아마존은 메타에 Muse의 기능에서 아마존을 빼 달라고 요청했습니다.

논란이 이어지는 동안에도 Muse 내려받기는 늘었습니다. 센서타워는 9월 30일 Muse가 미국 출시 3주 만에 다운로드 500만 건을 넘겼다고 추정했는데, 같은 숫자에 ChatGPT는 56일, Grok은 103일, Claude는 492일이 걸렸습니다. 메타가 9월 16일부터 광고를 늘려, 9월 14~27일 자기 앱들에 띄우는 자사 광고의 하루 노출 가운데 최대 50%를 Muse에 썼다는 집계도 함께 나왔습니다.

에이전트가 맥 전체를 원하는 이유

Muse의 구조를 보면 이 권한이 왜 필요한지 보입니다. 메타가 출시일에 낸 설계 글에 따르면 Muse는 사용자마다 클라우드에 전용 리눅스 가상 머신을 한 대씩 두고, 에이전트는 그 안에서 일하며, 사용자가 Muse에 넣는 모든 것은 이 가상 머신에 기록됩니다. 맥에 있는 메시지와 메모를 가져오는 일은 맥 앱이 맡고, 싱글턴의 설명대로 메시지 연동은 전체 디스크 접근 권한 없이는 켜지지 않습니다.

에이전트를 만드는 회사로서는 이 권한 하나로 여러 앱의 데이터에 한꺼번에 닿을 수 있습니다. 앱마다 연동을 따로 만들지 않아도 메일과 메시지, Safari 방문 기록을 읽을 수 있고, 애플 스스로 이 권한이 개인 정보 통제를 대부분 비켜 간다고 적었습니다. 와들은 애플 공지가 나오기 몇 시간 전 와이어드 인터뷰에서 이 구조를 건물 관리인에 빗댔습니다.

에이전트는 일을 하려면 많은 접근 권한이 필요합니다. 모든 방의 열쇠를 가진 건물 관리인과 같습니다.— 패트릭 와들, 오브젝티브-씨 재단 연구자 (와이어드 인터뷰)

오픈AI가 9월 29일 공개한 상시 에이전트 dots도 클라우드에 자기 컴퓨터를 두고 일하지만, 사용자가 허락하면 사용자의 노트북에 연결해 그 안의 파일과 앱으로 일할 수 있습니다. 맥루머스와 9to5Mac은 애플의 공지를 Muse와 dots처럼 개인 데이터에 넓은 접근을 요청하는 상시 에이전트의 확산과 함께 전했습니다.

막히면 다른 수단을 찾는 에이전트

이 사이트가 9월에 다룬 에이전트 사고에는 막힌 접근을 다른 수단으로 우회한 기록이 여럿 있습니다. 오픈AI가 9월 16일 낸 정렬 이탈 보고서 6편에는 자료를 찾던 내부 모델이 일회용 이메일로 가입을 시도하고 공개 깃허브에서 유출된 API 키를 찾아 쓴 강화학습 중 사례가 실렸습니다. 외부 조사자들이 오픈AI 에이전트의 흔적을 좇은 기록에서도 에이전트가 과제를 끝내려고 고른 방법은 일회용 메일 가입과 노출된 자격 증명 재사용, 봇 차단 우회였습니다.

소식·12분 읽기AI통계 찾던 오픈AI 에이전트가 55곳에 접근했고, 일부 기록은 사라졌습니다FT가 10월 1일 오픈AI 에이전트가 정부·기업·비영리 사이트 55곳의 자료를 가져갔다고 보도했습니다. 조사한 어시메트릭 시큐리티는 일부 기록이 지워지거나 닿을 수 없게 돼 공개 자료만으로는 민감 정보 접근을 배제할 수 없다고 밝혔습니다.읽기

이 사고들은 모두 오픈AI의 훈련·평가 환경에서 돌던 에이전트가 바깥 웹사이트에 닿은 일이었습니다. 사용자의 맥에서 전체 디스크 접근 권한을 받은 에이전트라면 손이 닿는 범위가 그 사람의 디스크 전체로 넓어지고, 와들이 짚은 대로 브라우저 쿠키와 대화 기록도 그 안에 있습니다. 다만 전체 디스크 접근 권한을 받은 에이전트가 이 권한으로 사고를 냈다는 공개 사례는 아직 없습니다. 아스테크니카도 메시지와 방문 기록을 읽으려고 이 권한을 남용한 다른 앱의 보고는 알려진 것이 없다고 적었고, 애플이 든 이유도 지금의 피해보다 에이전트가 자율적이 될수록 커질 위험이었습니다.

「항상 허용」 한 번이 연 것

맥의 권한과는 다른 일이지만, Muse를 둘러싼 사고 가운데에는 사용자가 무엇을 허락했는지 몰랐던 사례도 있습니다. 테크 유튜버 매트 롭은 Muse에 페이스북 마켓플레이스 판매를 맡겼다가 9월 마지막 주말 모르는 구매자에게 집 주소가 전달됐다고 스레드에 알렸습니다. 낮은 값에 거래가 합의됐고, 구매자가 다녀간 뒤에야 Muse가 그 사실을 알렸다는 내용이었습니다.

롭은 한국 시각 9월 29일 오후 이 글에서 메타의 싱글턴, Muse 팀과 함께 기록을 확인한 결과를 전했습니다. 마켓플레이스를 맡기자 Muse가 처음 띄운 창에는 「한 번 허용」과 「항상 허용」이 있었는데, 그는 나중에 제안을 받아들일 때 다시 승인을 물을 것이라 여기고 「항상 허용」을 눌렀습니다. 그 선택으로 Muse는 그를 대신해 메시지를 보낼 권한을 얻었고, 그가 알려 준 픽업 주소가 들어간 답장 양식을 제안한 구매자들에게 보냈습니다.

Muse가 남긴 사고 요약에는 주소를 구매자와 공유하라는 지시를 받은 적도, 공유해도 되는지 동의를 구한 적도 없다는 문장이 들어 있었습니다(더버지). 에이전트가 무엇을 왜 했는지 담은 기록은 메타 쪽에 있었고, 롭은 메타 팀과 함께 그 기록을 들여다본 뒤에야 원인을 알 수 있었습니다.

권한을 쥔 앱이 뚫릴 때

권한을 받은 에이전트 앱 자체가 공격 통로가 된 사례는 이미 나왔습니다. 와들은 한국 시각 9월 21일 밤 X에 Muse를 설치하지 말라는 글을 올리며, 맥을 관리하도록 만든 AI 비서인 만큼 Muse에는 디지털 생활 전반에 대한 넓은 접근이 필요하다고 썼습니다.

그가 공개한 취약점은 맥에서 도는 다른 앱이나 터미널 명령이 Muse의 설정 하나를 바꿔, 음성을 받아 적는 서버 주소를 공격자 쪽으로 돌릴 수 있게 했습니다. 그렇게 되면 Muse 계정을 인증하는 토큰이 공격자에게 넘어가고, 공격자는 Muse가 가진 권한을 그대로 쓸 수 있었습니다. 메타는 와들의 글 13시간쯤 뒤 맥 앱을 긴급 수정하면서, 원격 공격이 아니고 사용자 계정에서 이미 악성 코드가 돌고 있어야 가능한 공격이라고 밝혔습니다.

같은 연구자는 ChatGPT 맥 앱에서도 비슷한 문제를 찾았습니다. 와이어드에 따르면 신뢰받는 구성 요소 하나가 외부 스크립트를 받아 ChatGPT 본체로 넘길 수 있어서, 이미 맥에 들어온 악성 코드가 ChatGPT의 대화 기록과 연결된 브라우저 세션에 닿을 수 있었습니다. 오픈AI는 9월 25일 변경 기록에 수정 사실을 올렸고, 대변인 셰인 바우어는 보안 관행을 계속 다듬고 있지만 더 빨리 움직일 필요가 있다고 와이어드에 밝혔습니다. 와들은 ChatGPT와 dots 사이의 연동에서도 새 취약점을 찾아 신고했고, 오픈AI가 검토하고 있습니다.

2021년의 추적 동의 창, 2024년의 리콜

애플이 앱의 데이터 접근에 동의 절차를 덧붙인 것은 처음이 아닙니다. 2021년 4월 26일 iOS 14.5와 함께 시작한 앱 추적 투명성(ATT)은 앱이 다른 회사의 앱과 웹사이트에 걸쳐 사용자를 추적하거나 데이터 브로커와 데이터를 나누기 전에 사용자의 허락을 받게 했습니다. 당시 공개적으로 반대한 대표적인 회사가 페이스북(현 메타)이었고, 페이스북은 같은 날 낸 입장에서 애플의 확인 창을 비판하며, 그 창이 뜨기 전에 맞춤 광고를 설명하는 자체 안내 화면을 띄우겠다고 밝혔습니다.

이 요청은 애플이 설계한 창으로 뜨는데, 사람들이 허락하지 않도록 유도하고 이 결정이 무엇을 뜻하는지는 거의 알려 주지 않습니다.— 댄 레비, 페이스북(현 메타) 광고·비즈니스 제품 부사장 (2021년 4월 26일)

운영체제 회사가 AI 기능의 접근 범위 때문에 계획을 고친 사례도 있습니다. 마이크로소프트는 2024년 화면을 주기적으로 찍어 저장하는 윈도우 기능 리콜(Recall)을 출시 직전인 6월 7일에 손봤습니다. 사용자가 직접 켜지 않으면 꺼진 채로 두고, 윈도우 헬로 등록을 필수로 하고, 사용자가 인증할 때만 저장된 화면을 복호화하는 세 가지 변경이었습니다.

리콜은 그 뒤에도 일정이 두 번 밀렸습니다. 6월 18일 예정이던 미리보기는 윈도우 참가자 프로그램으로 옮겨졌고, 10월로 잡혔던 참가자 미리보기는 10월 31일 다시 12월로 미뤄졌습니다. 이번 애플 공지에는 그런 일정을 가늠할 날짜가 아직 없습니다.

엇갈린 맥 사용자와 개발자

공지가 나온 뒤 맥을 오래 써 온 사용자와 개발자 사이에서는 걱정과 수긍이 함께 나왔습니다. 그루버는 애플이 이름을 들지 않았지만 Muse와 Grok Bot, Claude, dots 같은 에이전트를 두고 나온 조치로 봤습니다. 그는 이 권한 없이는 제대로 돌지 않는 앱을 여럿 쓰는데, 작업할 때마다 직접 허락해야 한다면 크게 불편해질 것이라고 걱정했습니다. 동시에 그는 전 세계 맥 사용자 약 1억 5,000만 명의 대다수가 기술에 밝지 않고, 이 권한을 준다는 것이 무엇인지 모른 채 Muse의 요청을 모두 허락하고도 아이폰처럼 보호받는다고 여긴다고 썼습니다.

개발자 줄리안 스키아보는 공지가 나온 지 2시간 반 만에 애플의 문장을 옮기며, 새 통제가 권한을 잘게 나누는 방식이길 바라지만 허락 절차만 번거로워질까 걱정된다고 썼습니다. Muse의 취약점을 찾은 와들의 반응은 달랐습니다.

와들은 한국 시각 3일 아침, 허술하고 욕심 많은 AI 에이전트들이 전체 디스크 접근 권한을 고집하고 받은 뒤에는 그 권한으로 모든 것에 손을 대니 애플이 짜증 날 만하다고 썼습니다. 그리고 그 반응이 나오기까지 오래 걸리지 않았다고 덧붙였습니다.

한국 맥 사용자에게 달라지는 것

Muse는 9월 30일 기준 미국과 캐나다에서만 쓸 수 있어 한국에서는 아직 정식으로 쓸 수 없습니다. 반면 오픈AI의 dots는 유럽경제지역과 영국, 스위스를 뺀 지역의 Pro 요금제에 들어가 한국에서도 쓸 수 있고, 사용자가 허락하면 노트북에 연결됩니다. 어느 앱이 이 권한을 갖고 있는지는 시스템 설정의 개인정보 보호 및 보안에서 전체 디스크 접근 권한 항목을 열면 목록으로 볼 수 있습니다.

회사가 관리하는 맥은 사정이 다릅니다. 애플의 기기 관리 안내서를 보면 회사 IT 부서는 개인정보 보호 정책 프로파일(PPPC)의 「System Policy All Files」 항목으로 특정 앱에 이 권한을 사용자에게 묻지 않고 미리 줄 수 있습니다. 애플은 이번 공지에서 새 통제가 이런 관리 기기에도 적용되는지 밝히지 않았고, 에이전트 앱에만 적용되는지도 말하지 않았습니다.

공지의 한 문장은 사용자 본인보다 대화 상대를 향합니다. 애플은 메신저 앱에서 이 권한이 쓰이면 사용자와 대화하는 상대의 사생활까지 위험해진다고 적었는데, 대화 상대는 그 맥에서 권한을 허락한 적이 없어도 주고받은 메시지가 함께 넘어갑니다.

다음에 나올 것

애플은 새 통제가 어떤 모양인지, 언제 어느 버전부터 들어가는지 밝히지 않았습니다. 9월 14일 정식으로 나온 macOS 27 골든게이트에는 아직 이 변화가 없고, 공지는 「앞으로」 도입하겠다고만 적었습니다. 와들은 11월 애플 기기 보안을 다루는 학회 오브젝티브 바이 더 시에서 AI 맥 앱의 취약점 여러 건을 자세히 발표할 계획이고, 메타는 아스테크니카의 추가 질문에 답하지 않았습니다. 애플이 개발자 문서나 베타에서 새 확인 절차를 내놓으면 다시 전하겠습니다.

읽어 주셔서 고맙습니다.

초이 드림