AI 개인정보 · 공유 링크
링크를 보냈다고 수신자만 보는 것은 아닙니다
메타는 Muse 공유 기능을 일시 중단했다고 밝혔습니다. 클라록은 공유 주소 6800개 이상을 찾았지만, 이것이 피해자 수나 비공개 대화 전체 노출을 뜻하지는 않습니다.
이 글에서 다룰 내용
확인된 공유 링크 사건, 주소 수와 피해 규모의 차이, 기능 중단과 남은 기록, 업무용 공유 점검 기준
메타가 멈춘 것은 ‘공유 기능’입니다
AI가 정리한 내용을 동료에게 보내려고 공유 링크를 만들었다면 누가 그 페이지를 볼 수 있는지도 확인해야 합니다. 메타 Muse의 이번 사례는 ‘주소를 전달한 사람’과 ‘실제로 접근할 수 있는 사람’이 다를 수 있다는 점을 보여줍니다.
2026년 10월 20일 The Verge 보도에 따르면 메타는 Muse의 공유 기능을 일시 중단했습니다. 메타 대변인 트레이시 클레이턴은 이메일 답변에서 보고서를 검토하며 링크가 발견되는 방식을 바꾸는 방안을 살펴보고 있다고 밝혔습니다. 재개 일정이나 영구 폐지가 확정됐다는 설명은 아닙니다.
대상은 사용자가 공유를 요청해 만든 대화·아티팩트의 링크 페이지입니다. 링크를 아는 사람이 로그인 없이 볼 수 있었던 방식으로 모든 비공개 대화나 계정 전체가 공개됐다는 사건과는 구분해야 합니다.
6,800개는 피해자가 아니라 발견된 주소 수입니다
보안업체 클라록(Claroc)은 10월 18일 공개한 GhostShares 연구에서 주소 조회 기록을 통해 공유 호스트명 6,800개 이상을 발견했다고 밝혔습니다. 구글 검색 결과에서 대화를 찾아낸 것이 아니라 웹 주소를 조회하는 과정에서 남은 기록이 발견 경로였다는 설명입니다.
여기서 발견한 주소 수와 실제 열람한 페이지 수는 다릅니다. 클라록이 열어 본 것은 수백 개였으며 대부분은 평범한 내용이었다고 합니다. 일부 페이지에는 개인 금융 관련 자료나 회사 내부 문서처럼 민감할 수 있는 내용이 있었다고 설명했습니다.
따라서 ‘6,800명의 개인정보가 유출됐다’거나 ‘6,800개 모두에 기밀이 있었다’고 읽어서는 안 됩니다. 주소의 개수만으로 피해자 수나 민감정보의 양을 계산할 수는 없습니다.
40개가 안 열렸어도 모든 기록이 지워진 것은 아닙니다
클라록은 10월 20일 갱신에서 앞서 로그인 없이 열렸던 공유 40개를 다시 확인했지만 하나도 열리지 않았다고 밝혔습니다. 다만 이는 해당 표본을 당시 재점검한 결과이지, 모든 공유 페이지의 상태를 전수 확인한 결과는 아닙니다.
연구팀은 과거 주소와 제목 기록이 조회 이력에는 남아 있다고 설명했습니다. 본문 접근을 막는 조치와 이미 남은 역사적 기록을 모두 삭제하는 일은 서로 다릅니다. ‘이제 페이지가 열리지 않는다’는 결과만으로 과거 흔적까지 없어졌다고 단정할 수 없는 이유입니다.
클라록은 10월 8일 메타의 버그바운티 프로그램에 신고했으며 제3자가 해당 공유를 악용했다는 증거는 없다고 명시했습니다. 이는 연구팀이 확인한 범위의 설명이며, 악용이 절대 없었다는 보장은 아닙니다.
복잡한 링크와 수신자 인증은 다른 장치입니다
이번 사례에서 일반적으로 짚어야 할 원칙은 간단합니다. 주소를 추측하기 어렵게 만드는 것과 허용된 사람만 들어오게 만드는 것은 다릅니다. 임의 식별자가 포함된 주소라도 링크를 확보한 사람의 접근을 허용한다면 수신자를 확인하는 인증 장치로 볼 수 없습니다.
검색 노출 방지 요청도 마찬가지입니다. 검색 수집을 자제해 달라는 요청은 방문자의 신원을 확인하거나 열람 권한을 제한하는 기능이 아닙니다. 검색되지 않는 페이지와 접근이 제한된 페이지를 같은 의미로 받아들이지 않아야 합니다.
AI 대화 공유를 검토할 때도 ‘검색에 나오나요?’에서 멈추지 않는 편이 좋습니다. ‘원래 수신자가 링크를 다른 사람에게 전달하면 누가 볼 수 있나요?’까지 질문해야 개인정보 보호에 필요한 확인이 됩니다.
지금은 본인과 조직이 만든 공유부터 점검합니다
다음은 현재 Muse의 구체적인 메뉴 안내가 아니라 일반적인 실무 권고입니다. 먼저 본인이나 조직이 생성한 공유 링크와 그 안에 포함한 자료를 점검합니다. 타인의 링크를 찾아다니거나 실제 민감자료를 열어 볼 필요는 없습니다.
민감자료를 전달해야 한다면 수신자를 확인할 수 있는 승인된 공간을 이용하고 접근 범위와 회수 가능성을 확인하는 편이 좋습니다. 원본 대화에 외부 전달이 불필요한 정보가 섞여 있다면, 필요한 부분만 별도 자료로 정리하는 방법도 고려할 수 있습니다.
이미 외부에 공유했다면 조직 보안 담당자에게 알리고 실제 노출 범위를 확인하도록 합니다. 기업 AI 보안의 점검 대상을 서비스 도입 여부에만 두지 않고 직원이 만든 공유 결과물과 전달 경로까지 넓히자는 취지입니다.
공유하기 전에 ‘누가 볼 수 있는가’를 묻습니다
이번 일을 모든 AI 대화가 공개된 사건으로 확대할 필요는 없습니다. 반대로 공유 버튼으로 만든 링크라는 이유만으로 비공개 전달이 보장된다고 생각해서도 안 됩니다.
업무에서 확인할 기준은 링크의 길이나 모양보다 수신자 확인, 접근 범위, 회수 가능성입니다. AI가 자료를 잘 정리했는지 확인하는 것만큼 그 결과물이 누구에게 열리는지 살피는 습관이 중요합니다.
한 줄 요약: AI 대화 공유의 안전성은 주소가 얼마나 복잡한지가 아니라, 누가 열람할 수 있고 그 접근을 통제할 수 있는지로 판단해야 합니다.
감자나라 AI 강의보기 5,000 
