디스코드 연령 확인에 대한 분노, 영국에서 의심스러운 퍼소나 테스트 후 폭발

Source: Slashdot

배경

Discord는 전 세계 연령 확인을 도입하겠다고 발표했으며, 이를 위해 사용자는 “전체 접근”을 위해 정부 발급 신분증이나 비디오 셀카를 제출해야 합니다. 이전에 발생한 침해 사건에서 약 70,000명의 Discord 사용자의 신분증이 노출된 후 이 계획은 우려를 불러일으켰습니다 【source 1】.

Discord의 연령 확인 접근 방식

• 주요 방법: AI가 연령을 추정하는 비디오 셀카를 사용해 대부분의 사용자에 대해 신분증 제출 필요성을 줄임.
• 보조 방법: 연령 평가가 잘못되었다고 이의 제기하는 사용자는 정부 발급 신분증을 제공해야 함.
• 데이터 처리 주장: Discord의 글로벌 제품 정책 책임자 Savannah Badalich는 The Verge에 ID 데이터가 “빠르게 삭제된다 – 대부분의 경우 연령 확인 후 즉시 삭제된다”고 밝혔습니다.

영국에서의 Persona 테스트

Discord는 제3자 공급업체 Persona와 관련된 영국 전용 테스트를 잠시 공개했습니다. 보관된 FAQ 메모에는 다음과 같이 경고했습니다:

“중요: 영국에 거주하고 있다면, 귀하의 정보가 연령 보증 공급업체인 Persona에 의해 처리되는 실험에 포함될 수 있습니다. 제출한 정보는 최대 7일 동안 임시 저장된 후 삭제됩니다. 신분증 검증을 위해서는 사진과 생년월일을 제외한 모든 세부 정보가 흐려지므로, 연령 확인에 실제로 필요한 정보만 사용됩니다.”
— 보관된 Discord 지원 페이지

제기된 문제들

• 실험의 범위와 기간에 대한 투명성 부족.
• Persona가 Discord 플랫폼 파트너 목록에 없었음.
• Discord가 이후에 제시한 면책 조항은 처음에 암시된 것보다 짧은 저장 기간을 제시함.

반발 및 비판

• 비평가들은 Discord가 ID가 얼마나 오래 저장될 수 있는지와 데이터를 수집하는 주체를 숨기고 있다고 주장함.
• 테스트는 “소수의 사용자”를 대상으로 “한 달 미만” 동안 진행된 것으로 설명되었지만, 세부 사항은 여전히 모호함.
• 해커들은 Persona의 연령 확인을 우회하는 방법을 공개했고, 미국 정부가 승인한 서버에서 Persona 프런트엔드가 노출된 것을 발견함.

Discord와 Persona의 대응

• Discord는 테스트가 종료되었으며 Persona는 더 이상 활성 공급업체가 아니라고 확인함.
• Discord는 새로운 공급업체가 추가되거나 업데이트될 때 사용자에게 알릴 것을 약속함.
• Persona의 CEO인 Rick Song은 Ars Technica에 Discord 테스트에 참여한 검증된 개인들의 모든 데이터가 삭제되었다고 전함.

Persona 감시 기능에 대한 발견

독립 출판물 The Rage는 2,456개의 공개 파일을 분석한 결과, Persona 소프트웨어에 얼굴 인식과 재무 보고를 결합한 광범위한 감시 기능이 포함되어 있으며, 연방 기관을 위해 설계된 것으로 보이는 별도 구현이 존재한다는 사실을 보고했습니다 【source 2】.

• Persona는 정부 계약을 보유하고 있지 않지만, 노출된 서비스는 OpenAI 챗봇에 의해 구동되는 것으로 보임 【source 3】.
• 해커들은 OpenAI가 Persona 신원 확인을 위한 내부 데이터베이스를 만들었을 수 있으며, 이는 모든 OpenAI 사용자 데이터를 집계할 가능성이 있다고 경고함.

결론

이번 논란은 연령 확인 요구, 사용자 프라이버시, 제3자 데이터 처리 사이의 지속적인 긴장을 강조합니다. Discord가 Persona와의 파트너십을 종료하고 ID 데이터의 신속한 삭제를 주장하고는 있지만, 이번 사건은 생체 인식 및 문서 기반 검증 시스템을 구현할 때 보다 명확한 투명성과 강력한 보호 조치가 필요함을 보여줍니다.