[긴급] 중국 Z.ai, 사용자 코드 무단 유출 논란... AI 코딩 어시스턴트의 '보이지 않는 손' 대표 썸네일

📌 3줄 핵심 요약

  • 중국 Z.ai(Zhipu AI)의 코딩 도구 'ZCode'가 사용자 동의 없이 로컬 작업 데이터를 외부 서버로 업로드하다 적발되었습니다.
  • 약 313MB 규모의 압축 파일을 전송하기 위해 무려 564차례의 재시도를 감행했으며, 일부 데이터 유출이 확인되었습니다.
  • 기업용 소스코드나 민감한 프로젝트를 다루는 국내 개발자들은 AI 도구의 데이터 처리 권한 설정을 반드시 재점검해야 합니다.


안녕하세요, 딥러너입니다. AI 세계에서 벌어진 흥미로운 변화를 깊이 파헤쳐 보겠습니다.

Sponsored Advertisement



최근 생성형 AI의 발전은 마치 거대한 파도와 같습니다. 우리는 그 파도에 올라타 더 빠르고 효율적인 개발을 꿈꾸지만, 때로는 그 파도 아래 숨겨진 암초가 우리의 소중한 자산을 위협하기도 합니다. 오늘 다룰 소식은 바로 그 '암초'에 관한 이야기입니다.



소제목 1: 시장 배경과 이슈의 본질 (한국 독자 관점)#



중국의 제2의 AI 기업으로 불리는 Z.ai(Zhipu AI)가 최근 심각한 보안 논란에 휩싸였습니다. 이들은 GLM 모델을 통해 글로벌 시장에서 주목받고 있는 강력한 플레이어입니다. 하지만 최근 개발자들 사이에서 ZCode라는 코딩 어시스로트가 사용자의 로컬 작업 공간 데이터를 몰래 업로드한다는 제보가 잇따르고 있습니다.



한국의 IT 산업 환경은 보안에 매우 민감합니다. 특히 삼성, SK, 현대와 같은 글로벌 기업의 소스코드가 유출되는 것은 국가적 손실로 이어질 수 있기 때문입니다. 이번 사건은 단순한 기술적 오류를 넘어, AI 서비스가 사용자의 신뢰를 어떻게 저버릴 수 있는지 보여주는 상징적인 사례입니다.



중국 기업의 데이터 주권 문제는 국내 기업들에게도 시사하는 바가 큽니다. AI 모델의 파라미터 규모가 커지고 성능이 향상될수록, 그 모델을 학습시키기 위한 데이터 수집 과정에서의 윤리성과 투명성이 더욱 중요해지고 있습니다.

(문단 간격 조정 및 모바일 가독성 최적화 완료)

소제목 2: 심층 스펙 분석 및 핵심 기술 해설#



이번 사건의 핵심은 ZCode가 수행한 '비정상적인 데이터 전송 시도'에 있습니다. 단순한 로그 기록이 아니라, 의도적인 데이터 유출(Exfiltration) 정황이 포착되었습니다.



  • 데이터 규모 및 시도 횟수: 개발자 Ferstar의 발견에 따르면, ZCode는 약 313MB에 달하는 로컬 파일을 압축하여 알리바바 클라우드 저장소로 전송하려 했습니다. 이 과정에서 무려 564번의 전송 실패와 재시도가 발생했습니다.
  • 유출된 데이터의 성격: 파일은 암호화 및 압축되었으나, 파일명(Filename)은 노출된 상태였습니다. 이를 통해 사용자가 진행 중인 상업적 프로젝트의 구조와 내용이 노출되었을 가능성이 매우 높습니다.
  • 기본 설정의 위험성: 가장 심각한 점은 이 업로드 메커니즘이 '기본 활성화(Enabled by default)' 상태였다는 것입니다. 사용자가 명시적으로 '끄기'를 선택할 수 있는 옵션조차 제공되지 않았습니다.
  • 토큰 및 처리 효율성 관점: AI가 코드를 분석하기 위해 토연을 처리하는 과정에서, 필요 이상의 로컬 컨텍스트를 서버로 전송하는 행위는 명백한 권한 남용입니다.


비록 할루시네이션(환각 현상)처럼 AI가 가짜 정보를 만들어내는 오류는 아니지만, AI의 동작 방식이 사용자의 통제를 벗어날 때 발생하는 '신뢰의 붕괴'는 기술적 오류보다 훨씬 치명적입니다.



소제목 3: 한눈에 보는 비교 분석 (E-E-A-T 데이터 테이블)#



AI 코딩 도구들의 보안 이슈를 비교해 보면, 비단 중국 기업만의 문제는 아님을 알 수 있습니다. 미국 기업들 역시 데이터 프라이버시 문제에서 자유롭지 못합니다.



구분 Z.ai (ZCode) Anthropic (Claude Code) xAI (Grok Build)
주요 이슈 무단 데이터 업로드 데이터 전송 권한 논란 데이터 수집 방식 의문
사용자 동의 없음 (강제 활성) 논란 중 불투명
신뢰도 평가 매우 낮음 보통 주의 필요


소제목 4: 실전 구매 가이드 및 주의사항#



AI 코딩 어시스턴트를 도입하려는 기업 및 개인 개발자는 다음의 체크리스트를 반드시 확인해야 합니다.



✅ 이런 분께 추천합니다 (안전한 사용법)

  • 로컬 실행이 가능한 Open-source LLM(Llama 3, Gemma 등)을 사용하는 분
  • 데이터 처리 방침이 투명하게 공개된 유료 엔터프재스 플랜을 사용하는 분
  • 코드 전송 범위를 직접 설정할 수 있는 IDE 플러그인을 선호하는 분

❌ 이런 분은 패스하세요 (위험 요소)

  • 무료이면서 '모든 것을 자동으로 해준다'는 광고를 하는 도구
  • 데이터 전송 시 사용자 동의 절차가 생략된 도구
  • 중요한 상업적 자산(IP)을 다루는 프로젝트를 수행 중인 분


실질적 조언: 국내 기업이라면 가급적 폐쇄망 환경에서 동작하는 모델을 구축하거나, 데이터 유출 방지(DLP) 솔루션과 연동된 AI 도구를 도입하는 것이 가성비와 보안을 모두 잡는 길입니다.



자주 묻는 질문 (FAQ)#



Q1. Z.ai의 이번 사건으로 제 코드가 이미 유출되었을까요?
A1. ZCode를 사용 중이었다면 위험합니다. 564번의 시도 중 일부 데이터가 성공적으로 전송된 것이 확인되었으므로, 즉시 해당 도구의 사용을 중단하고 보안 점검을 수행해야 합니다.



Q2. 미국 AI 기업들의 도구는 안전한가요?
A2. 완벽하게 안전하다고 단정할 수 없습니다. xAI나 Anthropic 역시 데이터 전송과 관련하여 사용자들의 우려를 사고 있는 만큼, 항상 데이터 처리 정책을 주기적으로 확인하는 습관이 필요합니다.



필자의 한마디 & 결론#



AI는 분명 우리의 생산성을 폭발적으로 높여줄 혁신적인 도구입니다. 하지만 그 도구가 우리의 가장 소중한 자산인 '지적 재산'을 훔쳐가는 도둑이 되어서는 안 됩니다. 기술의 편리함에 매몰되어 보안이라는 기본 가치를 놓치고 있는 것은 아닌지 우리 스스로를 돌아봐야 할 때입니다.



AI는 도구일 뿐, 방향을 결정하는 것은 우리 인간입니다. 여러분의 생각은 어떠신가요? AI 도구의 편리함과 보안 중 무엇이 더 우선되어야 한다고 보십니까? 댓글로 의견을 나눠주세요. 딥러너였습니다.



출처: https://www.tomshardware.com/tech-industry/artificial-intelligence/devs-say-chinese-ai-company-silently-uploaded-hundreds-of-megabytes-of-local-workspace-data-z-ai-the-firm-behind-the-glm-models-didnt-ask-for-user-consent-and-made-564-attempts-to-exfiltrate-313mb-archive