놀랍지도 않게, Meta의 새 Muse AI 에이전트가 사용자 권한 설정을 노골적으로 무시함

LLM 비서를 전도할 생각은 없지만, 이 일이 사실일 가능성은 극히 낮아 보이며 사실이라면 macOS 보안 실패에 해당함. 전체 디스크 접근 권한이 없으면 민감한 경로는커녕 Downloads 폴더 접근도 막힘. 다른 기기에서 실수로 권한을 부여했거나, 켰던 권한을 나중에 껐을 가능성이 훨씬 높아 보임.
허가 없이 행동하는 에이전트는 앞으로 큰 문제가 되겠지만, 이 시나리오는 믿기 어려움. Muse가 더 구체적인 데이터 출처와 로그를 제공할 수 있는지 궁금함.
다만 메시지 접근을 따로 허용하지 않았는데 전체 디스크 접근 권한만으로 iMessage 데이터베이스를 알아서 훑었다면, 그것도 수상한 행동임.

에이전트 샌드박싱과 접근 제어는 이 기술이 본격적으로 대중화되기 전에 해결해야 할 가장 큰 과제 중 하나임. 기술을 아는 사람도 에이전트를 제대로 격리하기는 쉽지 않으며, 권한 팝업을 한 번 잘못 눌러 디스크 전체를 내주는 구조는 작동 방식을 잘 모르는 일반 사용자에게 막대한 위험이 됨.
현재 보안 체계 상당수는 접근 제어를 사용자 계정에 연결하는 방식에 의존함. 사용자를 대신하는 에이전트에 권한을 주되, 쓸모없게 만들지도 않고 모든 사용자가 세부 권한을 수동 관리하는 시스템 관리자가 되도록 요구하지도 않으려면 많은 부분을 재설계해야 함.

틀린 말은 아니지만, Meta를 선의로 해석해 주기는 어떤 사안에서든 어려움. 한 번 속는 것과 137번 속는 것은 다름.

Meta인데 이게 놀라운 일인가? 2009~2010년 소셜 게임을 만들 때 접근할 수 있었던 소셜 그래프 데이터는 오늘날의 보안 기준으로 보면 엄청난 수준이었음. 이제는 더 잘 숨기게 됐을 뿐임.

더 우려스러운 건 디스크 접근을 차단한다는 macOS의 UAC 같은 권한 스위치와 각종 보호 장치가 사용성만 떨어뜨리는 장식이고 실제 기능은 없는 것처럼 보인다는 사실임. 이건 macOS의 심각한 비상사태이며, Meta는 그 틈을 이용했을 뿐이라고 봄.

개인적으로 이런 장치는 정말 짜증 남. Mac이 iPhone처럼 변하면서 앱 경제 바깥을 모두 닫아 버리려는 흐름으로 보임. 이러다 Xcode를 베이 지역에서만 쓸 수 있게 해 ‘전문가’만 소프트웨어를 개발하도록 하고, 결국 웹 브라우저까지 금지할 기세임.

macOS 앱 권한 때문에 이런 일이 일어날 수 없다는 댓글이 많은데, 그 권한 체계는 완전히 망가져 있음.
터미널 앱에서 /Applications/Firefox.app/Contents/MacOS/firefox를 실행해 보면 됨. 겉보기에는 평범한 Firefox 창이 열리지만, 실제로는 터미널에 부여한 권한을 그대로 가짐. 터미널에는 전체 디스크 접근 권한이 있을 가능성이 높으니, 황당한 구조임.

어떻게 이런 일이 가능한가? Apple 메시지는 누구나 마음대로 읽을 수 있는 건가?

macOS 권한 모델이 제대로 작동하지 않음. 실제로는 아무것도 막지 못하는 동의 팝업을 사용자에게 띄우는 일만 잘함.

적어도 유닉스 계열 시스템에서는 내가 읽을 수 있는 데이터라면 내 계정으로 실행하는 프로세스도 읽을 수 있음. macOS가 기존 운영체제 권한 위에 별도의 이상한 권한 계층을 덧붙이기는 했지만, 기본적으로 유닉스에서 앱을 실행한다는 것은 내 사용자 권한으로 나를 대신해 행동하도록 허용한다는 뜻임.
실행하는 소프트웨어에 내 컴퓨터의 모든 데이터를 맡길 수 있을 때는 이 방식이 통했음. 하지만 대부분의 외부 상용 소프트웨어 개발사, 심지어 일부 운영체제 공급사에 대해서도 그런 시대는 대체로 지났다고 봄.
최선은 명백히 신뢰할 수 없는 개발사의 소프트웨어를 실행하지 않는 것임. 차선은 시스템의 중요한 자원에 거의 접근하지 못하도록 강하게 격리한 사용자 계정으로 실행하는 것임.

불가능한 일이고, 사용자 실수라고 봄.

이 회사들은 신경 쓰지 않음. 기술은 이미 있지만, 올바르게 행동하도록 강제할 법적 제재가 부족함.

근본적인 문제는 AI 기업들이 인간 피드백 기반 강화학습(RLHF) 을 안전장치의 충분한 기반 기술로 여겨 왔다는 데 있음. 실제로는 그렇지 않음.

Meta에게 사용자는 그저 이용해 먹을 대상일 뿐임. Meta 제품을 무엇이든 쓰면 그 손아귀에 들어가는 셈이며, 언젠가는 더 많은 사람이 이를 깨닫기를 바람.

핵심은 격리와 유용성의 상충 관계임. 사람들은 당장 작업을 끝내려고 ‘모두 허용’을 누르게 됨.

Meta는 Muse가 사용자가 설정한 권한을 따라야 하며, 명시적으로 허용하지 않은 데이터에는 접근하지 않는다고 하는데, 이건 Muse 내부 설정을 뜻하는 건가?
기사에 따르면 Muse는 하루 만에 팟캐스트 공동 진행자에게 보낸 문자를 바탕으로 기사 아이디어를 제안하기 시작했고, 출처를 묻자 수신 문자 알림 배너를 읽었다고 답했다고 함. 하지만 Aten이 확인한 바로는 전체 디스크 접근이 꺼져 있는데도 Messages 데이터베이스에서 18만 7천 줄을 동기화했다고 하니 앞뒤가 맞지 않음.
전체 디스크 접근 제한은 운영체제가 강제하는 건가, 앱이 스스로 지키는 건가? 접근을 명시적으로 꺼 놓았는데도 Muse가 이를 무시해 macOS 보안을 뚫었다는 뜻인가? 재현하거나 기록으로 남긴 것이 있는가?