앤트로픽 정보 유출 신고 클로드 기업 계정 100여 개 유출 확인

앤트로픽 정보 유출 신고가 알려지면서 국내 기업들의 생성형 AI 보안에 대한 관심이 커지고 있습니다. 앤트로픽은 지난 10월 31일 국내 기업용 클로드 계정 100여 개의 정보가 외부로 유출된 사실을 개인정보보호위원회에 신고했습니다. 아직 정식 조사 단계는 아니지만 유출 규모와 경위를 두고 여러 언론의 보도가 이어지고 있습니다.

1 앤트로픽 정보 유출 신고 사건 한눈에 보기
2 왜 기업용 AI 계정 유출이 더 민감한가
- 2.1 개인정보보호위원회는 어떻게 대응하나
3 기업은 어떤 대비를 해야 할까
4 마무리
5 자주 묻는 질문

앤트로픽 정보 유출 신고 사건 한눈에 보기

구분	내용
신고일	2026년 10월 31일
피해 규모	국내 기업용 클로드 계정 100여 개
노출 가능 정보	계정 및 조직 식별번호, 이름, 이메일 등 업무 연락처
침입 경로	제3자 업무용 소프트웨어 취약점을 통한 내부 시스템 무단 접근
노출되지 않은 정보	프롬프트, AI 결과물, 결제정보
현재 상태	개인정보보호위원회 사전 검토 진행 중

이번 앤트로픽 정보 유출 신고는 외부 보안업체가 업무용 소프트웨어의 취약점을 악용해 앤트로픽 내부 시스템에 접근하면서 발생했습니다. 앞서 워싱턴포스트는 미국 보안 스타트업 캐서드럴이 이런 방식으로 앤트로픽 시스템에 들어갔다고 보도했습니다. 앤트로픽은 일부 고객사에 안내문을 보내 기업용 클로드 계정의 계정 및 조직 식별번호와 이름, 이메일 주소 등 업무 연락처가 노출됐을 가능성이 있다고 전했습니다.

앤트로픽 측은 사용자들이 입력한 프롬프트와 AI가 생성한 결과물, 결제정보에는 외부 접근이 없었다고 설명했습니다. 사안을 인지한 당일 영향을 받은 시스템을 차단하고 공급업체와 협력해 취약점을 해결했다는 입장도 밝혔습니다. 다만 계정 정보와 업무용 연락처가 유출됐다면 피싱이나 사칭 같은 2차 공격에 악용될 여지가 있어 기업들의 우려는 쉽게 가라앉지 않습니다.

왜 기업용 AI 계정 유출이 더 민감한가

기업용 AI 서비스는 여러 임직원이 조직 단위로 계정을 사용하는 구조입니다. 그래서 한 계정의 정보가 노출되면 개인 사용자 한 명의 문제를 넘어 조직 전체의 구성원 정보가 흔들릴 수 있습니다. 이번 사건에서 노출된 이름과 이메일 주소는 기업 내부 관계를 유추하는 데 활용될 수 있고, 실제로 피싱 메일을 보내는 데 악용되기도 쉽습니다. 앤트로픽 정보 유출 신고가 단순한 기술적 사고가 아니라 보안 신뢰의 문제로 이어지는 이유입니다.

특히 최근 많은 기업이 문서 작성, 자료 분석, 내부 업무 지원 등에 생성형 AI를 적극적으로 사용하고 있습니다. 업무 데이터가 AI 시스템에 축적되는 만큼 서비스 제공업체의 보안 관리 수준은 이전보다 더 중요해졌습니다. 이번 사고로 앤트로픽이 강조한 것은 프롬프트와 결과물, 결제정보는 보호됐다는 점이지만, 계정 정보만으로도 충분히 보안 위협이 될 수 있다는 사실을 간과해서는 안 됩니다.

개인정보보호위원회는 어떻게 대응하나

개인정보보호위원회는 앤트로픽의 신고 내용을 토대로 현재 사전 검토를 진행하고 있습니다. 해외 사업자에 대한 조사는 국내 사업자와 달리 자료 요청 절차가 추가로 필요할 수 있어 시간이 걸릴 수 있습니다. 정식 조사가 시작되면 유출 경위와 구체적인 피해 규모, 개인정보 보호 조치가 적정했는지 등을 확인할 예정입니다. 아직 조사 착수 여부가 정해지지 않은 만큼 향후 개인정보위의 움직임을 지켜볼 필요가 있습니다.

앤트로픽 내부에서는 기술연구원이 계정 정보에 권한 없이 접근된 사실을 인정하면서도 실제로는 이름과 이메일, 요금제 등에 한정됐다고 설명했습니다. 그러면서 제3자 소프트웨어에 대한 보안 및 모니터링 체계를 지속적으로 보완하겠다는 뜻을 밝혔습니다. 다만 기업 고객 입장에서는 서비스 제공자의 해명만으로는 부족할 수 있습니다. 침해 원인과 재발 방지 대책이 투명하게 공개될 때 신뢰가 회복될 수 있습니다.

관련 보도 내용을 더 자세히 확인하고 싶다면 아래 링크를 눌러볼 수 있습니다.

기업은 어떤 대비를 해야 할까

앤트로픽 정보 유출 신고를 계기로 기업들은 AI 서비스 이용 방식을 다시 점검해볼 수 있습니다. 우선 기업용 계정을 사용할 때는 임직원별 접근 권한을 최소화하고, 계정이 불필요하게 넓은 범위로 공유되지 않도록 관리해야 합니다. 또한 이메일 주소와 조직 정보가 노출됐을 가능성에 대비해 임직원들에게 피싱 메일 주의 안내를 강화하는 것이 좋습니다.

AI 서비스 제공업체가 제공하는 보안 공지와 이용약관 변경 사항도 주기적으로 확인해야 합니다. 기업 내부에서 AI 사용 정책을 만들 때는 어떤 데이터를 입력해도 되는지, 외부 유출 시 대응 절차는 어떻게 되는지 함께 정리해 두는 것이 중요합니다. 생성형 AI의 편의성에만 집중하다 보면 보안 사고에 대한 대비가 늦어질 수 있습니다.

이번 사건은 AI 기술 확산 속도만큼 보안 관리 체계도 함께 발전해야 한다는 점을 보여줍니다. 앤트로픽도 클로드의 업무 기능을 강화하면서 동시에 제3자 소프트웨어 관리와 내부 모니터링을 보완하겠다고 했습니다. 기업 고객들도 서비스 제공업체의 보안 수준을 확인하고 자체적인 계정 관리와 직원 교육을 병행한다면 더 안전하게 AI를 활용할 수 있을 것입니다.

마무리

앤트로픽 정보 유출 신고는 국내 기업용 계정 100여 개가 영향을 받은 사건으로, 아직 정식 조사 전입니다. 유출된 정보는 계정 및 조직 식별번호, 이름, 이메일 등 업무 연락처로 알려졌으며 프롬프트와 생성 결과물, 결제 정보는 노출되지 않았다고 앤트로픽은 밝혔습니다. 그럼에도 계정 정보가 2차 공격에 악용될 가능성을 배제할 수 없으므로 기업들은 접근 권한 통제와 임직원 보안 교육을 다시 점검하는 것이 좋습니다. 앞으로 개인정보위 조사 결과와 앤트로픽의 재발 방지 대책을 지켜보면서 생성형 AI 보안 문화가 한층 더 성숙해지길 기대합니다.