스파이 보도가 드러낸 AI 업계의 사람 리스크
뉴욕타임스발 엔비디아 칩 우회 반출 조사에서 젠슨 황과 사교 자리에서 접촉한 인물이 주목받았고, 국내 언론은 이를 스파이 의혹으로 전했다. 이 사례는 정보 침투가 해킹이 아니라 행사·소개·신뢰 전이 같은 '사람 경로'로 이뤄진다는 점을 보여준다. 스파이 여부는 아직 의혹 단계인 만큼 단정은 피하되, 낯선 인맥을 검증하는 절차를 조직 차원에서 갖추는 것이 실질적 대응이다.
보도의 핵심은 '스파이'라는 단어가 아니다
뉴욕타임스는 최근 싱가포르 데이터센터 업체 메가스피드가 대중국 수출이 금지된 엔비디아 AI 칩의 우회 통로로 의심받고 있다고 보도했다. 미국 당국은 2024년부터 이 경로를 조사해 왔다. 이 과정에서 메가스피드 임원이었던 '앨리스 황'이 주목받았고, 그가 젠슨 황 엔비디아 CEO와 접촉한 정황이 함께 알려졌다. 국내 일부 매체는 이를 '중국 스파이' 의혹으로 전했다.
짚어둘 점이 있다. 앨리스 황이 스파이라는 규정은 아직 의혹 단계다. NYT 보도에 따르면 두 사람의 접점은 타이베이의 한 사교 모임이었고, 그가 다른 임원들에게 젠슨 황을 자리에 부르겠다고 제안한 것이 계기였다. 엔비디아는 현장 팀이 행사에서 고객·파트너를 접대하며 CEO가 가능할 때 합류하는 일상적 업무라고 설명했다. 지금 확인된 것은 '간첩 활동'이 아니라, 업계 사교 네트워크를 통한 접근의 모습이다.
정보는 해킹보다 사람을 통해 샌다
Kampus Production
이 사건이 AI 업계 종사자에게 던지는 교훈은 방화벽이 아니라 사람 쪽에 있다. 보도된 접근 방식에는 공통점이 있다. 코드를 뚫은 흔적이 없다는 점이다.
사람을 통한 정보 수집은 대개 몇 단계를 거친다. 먼저 업계 행사나 모임처럼 경계가 느슨한 자리에서 자연스럽게 접점을 만든다. 다음으로 이미 신뢰받는 사람의 소개를 빌려 '검증된 인물'처럼 보이게 한다. 사회공학에서는 이를 신뢰의 전이라고 부른다. 상대는 직접 비밀을 묻지 않는다. 화제, 인맥, 일정, 관심사 같은 조각 정보를 모아 큰 그림을 맞춘다.
앨리스 황의 경력도 이 맥락에서 읽을 수 있다. NYT는 그가 중국에서 국영매체 방송기자와 프라이빗 뱅커 등으로 오래 일했다고 전했다. 사실이라면 낯선 인물이 아니라 '업계에 익숙한 인물'로 보이게 하는 배경이 된다. 위험한 접근일수록 수상해 보이지 않는다는 점이 핵심이다.
낯선 인맥을 검증하는 체크리스트
행사장에서 만난 사람, 메신저로 온 제안, 소개로 연결된 파트너를 어떻게 걸러야 할까. 보안기관들이 공통으로 권하는 절차는 의외로 단순하다.
- 소개받은 사람이라도 소개해 준 당사자에게 직접 다시 확인한다. 상대가 알려준 연락처가 아니라 내가 이미 아는 경로로 확인한다.
- 민감한 행동에는 속도를 늦춘다. 접근 권한 요청, 자료 공유, '급하다'는 압박이 겹치면 경계 신호로 본다.
- 조직 차원에서 승인된 외부 연락처 목록을 두고, 거기서 벗어난 요청은 콜백 절차로 검증한다.
- 의심스러운 접촉을 빠르게, 불이익 없이 신고하는 창구를 만든다. 오인 신고도 벌하지 않아야 신고가 쌓인다.
- 한 사람에게 모이는 정보의 양을 본다. 평소보다 많은 자료가 한곳으로 흐르면 그 자체가 지표다.
핵심은 상대를 의심하는 태도가 아니라, 확인 경로를 상대가 아닌 내가 쥐는 것이다.
단정하지 말아야 할 것
끝으로 분명히 할 것이 있다. 지금 공개된 정보로는 스파이 활동이 입증되지 않았다. 엔비디아는 접촉을 통상적 관계로 해명했고, 칩 우회 의혹에 대한 조사도 진행 중이다. 보도 사이에 접촉 시점이 2024년과 지난해로 엇갈리는 등 세부 사실도 아직 확정적이지 않다.
그래서 이 사건은 특정 인물을 단죄하는 이야기로 소비할 대상이 아니다. 오히려 두 가지 태도를 동시에 요구한다. 입증되기 전까지 사람을 함부로 규정하지 않는 것, 그리고 검증 절차는 미리 갖춰 두는 것이다. 조직이 통제할 수 있는 대상은 소문이 아니라 절차다. 거기에 집중하는 편이 현실적이다.