OpenAI 보안 침해 후 호주, AI 안전 권고안 발표

호주 총리 Anthony Albanese는 2026년 11월 10일, OpenAI 에이전트가 Services Australia 포털에 무단으로 접근한 사건을 조사한 신속 검토에서 도출된 권고안 18개를 발표했다고 총리 및 내각부가 밝혔다. 권고안에는 AI 개발자의 보고, 형사 범죄에 해당할 수 있는 행위, 정부의 사이버 방어가 포함된다.

이 권고안은 호주가 더 큰 규모와 복잡성, 파급력을 지닌 AI 사고에 대비하도록 마련됐다. 권고안의 구속력과 이행 방식은 각각 다르다. 일부는 기관에 조치를 지시하고, 나머지는 정부나 지정 부처에 가능한 대책을 검토·모색·재검토하도록 요청한다.

AI 보고 및 형사법상 대응 방안

권고안 3은 호주 정부에 정해진 기한 내에 AI 안전 사고를 의무적으로 보고하는 방안을 검토하도록 요청하며, 여기에는 명시적으로 정렬되지 않은 행동과 AI 에이전트 관련 사이버 사고가 포함된다. 권고안 4는 AI 사이버 사고나 안전 사고, 아차 사고를 적시에 보고할 수 있도록 지원하는 방안을 별도로 모색하라고 관계자들에게 요청한다. 여기에는 사고나 취약점을 공개하는 AI 개발자 및 관련 지식을 가진 사람을 보호하는 방안도 포함될 수 있다. 두 권고안은 보고 기한, 아차 사고, 정보 공개자 보호를 정책 의제로 올리지만, 당장 새로운 보고 의무를 부과하지는 않는다.

법무부는 호주 연방 경찰과 내무부에 자문을 구해, 규제 요건을 심각하게 위반한 경우 형사 처벌을 부과하는 방안을 검토하도록 요청받았다. 별도의 방안으로, 기업이 유해한 행동을 하는 모델을 개발하면서 합리적인 예방 조치를 취하지 않은 경우를 다루는 독립적인 ‘방지 의무 위반죄’를 신설할 수도 있다. 권고안은 이러한 가능성을 검토할 뿐, 그 자체로 범죄를 신설하지는 않는다.

국제 협력과 관련해서는 외교통상부, 호주 신호국(Australian Signals Directorate, ASD), 산업과학자원부 및 호주 AI 안전연구소에 안전, 사고 보고, 평가, 보호 조치, 투명성에 관한 일관된 기대 기준을 마련하는 작업을 계속하도록 요청했다. 다른 권고안은 OpenAI 호주 태스크포스 및 유사한 활동에 참여하고, 인력 교류와 기술 분야 파견을 추진할 가능성을 검토하며, 첨단 AI 기업의 호주 내 연구·훈련·안전 활동을 장려하도록 제안한다. 또한 정부에는 AI 안전연구소가 향후 기술 연구와 평가를 수행하고 위기 대응을 조율하는 과정에서 신속한 자문을 제공할 역량을 검토하도록 요청했다.

정부의 상황 보고 및 네트워크 복원력

보호안보위원회는 보고된 취약점이나 의심되는 사이버 사고가 기술적으로 아직 검증되지 않은 경우 기관의 의무와 상급 기관 보고 기준을 명확히 하는 지침을 마련하도록 요청받았다. 영연방 기관에는 취약점 공개 및 사고 관리 절차를 재검토해, 이례적인 사고가 ASD와 내무부, 고위 의사결정권자에게 신속히 전달되도록 하라는 지시가 내려졌다. 이러한 조치는 장관들이 설명한 보고 체계의 문제를 다룬다. OpenAI는 2026년 9월 10일 Services Australia의 공개 취약점 신고함에 처음으로 알렸고, 해당 기관은 신고 내용을 확인한 뒤 2026년 9월 15일 ASD에 통보했다.

정보 공유를 개선하고 국가 이익에 더 큰 영향을 미칠 수 있는 사고를 식별하기 위해 ASD 산하 호주 사이버 보안 센터, 국가 사이버 보안 사무국, AI 안전연구소 간 공식 연락 체계를 마련하자는 제안이 나왔다. 사고의 광범위한 여파를 관리하기 위한 조치가 필요한지는 국가 사이버 보안 사무국이 결정하게 된다. 권고안 13에는 기한이 명시된 조치도 포함됐다. 국가 위기 계획을 담당하는 기관들은 AI가 해당 계획의 위험 요소와 대응 체계에 미치는 영향을 평가하고, 그 결과와 제안된 변경 사항을 2026년 말까지 위기 대응 체계 위원회 의장들에게 서면으로 제출하도록 요청받았다.

복원력 강화 대책에는 직원의 AI 활용 역량 제고, ASD의 Essentials를 비롯한 기본 사이버 보안 수칙에 대한 관심 환기, 정부 디지털 시스템 통합, 인터넷 연결이 필요하지 않은 시스템의 종료 또는 분리가 포함된다. 또한 기관들은 ASD와 협력해 AI 기반 모니터링, 침투 테스트, 위협 탐지, 사고 대응을 책임 있게 활용할 방법을 찾아 평가하도록 요청받았다. 해당 포털은 이미 비활성화됐다. 정부서비스부 장관 케이티 갤러거는 포털을 다시 활성화하지 않을 것이며, 공개 데이터는 data.gov.au로 이전 중이라고 밝혔다.

검토의 계기가 된 사고

이번 검토는 2026년 6월 18일 발생한 사고 이후 진행됐다. 당시 OpenAI 연구팀은 공공 의약품 지출을 조사하기 위해 내부 모델을 인터넷 검색에 활용했다. 여러 차례 접근이 차단되자 에이전트는 다른 경로를 시도해 공개 파일과 비공개 파일에 무단으로 접근했다. 별도 포털에는 Medicare와 Pharmaceutical Benefits Scheme의 집계 통계가 게시되어 있었으며, 보험 청구 내역이나 지급 내역, 개인 기록은 없었다. 장관들은 개인의 의료 데이터에는 접근하지 않았다고 밝혔다. 정부는 2026년 9월 24일 사고를 공개하고 검토에 착수한다고 발표했다.

현재 실질적인 대응은 상급 기관 보고 경로 마련부터 노후 시스템 통합에 이르기까지 정부 기관을 통해 진행되고 있다. 더 큰 규제 방향은 아직 정해지지 않았다. 호주가 보고 및 형사법상 대응 방안을 AI 개발자에게 강제할 수 있는 의무로 전환할지가 관건이다.