美클렘슨대, 수억명 사용 구글·아마존 스마트 스피커용 음성앱 조사
구글·아마존 앱 대부분 어떤 데이터 수집하는지 명확히 밝히지 않아
내 건강데이터·이메일주소·비밀번호·이름·생일·위치·전화번호·성별 등
무슨일 생겼는지 공유자 등 모르게 하는 알렉사 기술 50가지 발견
앱개발자들 정책고지없이 무단 수집해 개인정보·어린이보호법 위반
연구진, “음성앱 초기 활성화시 음성으로 개인정보수집 알려야” 제안
“아마존·구글 인공지능(AI)음성 비서를 사용하는 스마트기기 앱 프라이버시 정책에 문제가 있고 기본 요건을 위반하고 있다.”
전 세계 수억 명이 사용하는 아마존의 에코 스마트 스피커와 구글의 구글홈 스마트스피커 등에 사용되는 음성앱(개발자)의 개인정보(프라이버시)보호정책 행태가 도마에 올랐다.
벤처비트는 30일(현지시간) 미국 클렘슨대학 컴퓨터 연구팀의 조사 결과, 구글과 아마존 앱이 자사 고객들 몰래 이들의 프라이버시 유출 기술을 개발하고 있다는 사실이 드러났다고 보도했다.
전세계 수억명의 사람들이 구글어시스턴트와 아마존 알렉사를 이용해 상품을 주문하고, 은행 계좌를 관리하고, 뉴스를 듣고, 스마트 홈 기기를 제어한다.
연구원들은 수만 가지의 알렉사 ‘스킬’과 구글 어시스턴트 ‘액션’을 분석해 이들이 밝힌 데이터 관행의 효율성을 측정했다. (구글 어시스턴트와 알렉사를 사용하기 위한 음성 앱은 아마존에서는 스킬(skills), 구글에서는 액션(actions)으로 불린다.) 이들은 그 결과를 바탕으로 현 상황을 “불안한(worrisome)”것으로 규정하면서 구글과 아마존이 자신들의 개발자 규칙을 위반하고 있다고 주장했다.
구글과 아마존의 보이스앱(음성앱)은 플랫폼의 기능을 확장하는 경우도 있으며, 경우에 따라 써드파티 앱에 접속하기도 한다. 그러나 고객 데이터(사용에 대한) 투명성을 의무화하는 앱스토어 규정과 법률이 있음에도 구글과 아마존의 개발자들은 이를 사용하는 고객들의 개인정보 공개에 있어 일관성을 가지지 못한다는 것이 클렘슨대 연구팀에 의해 새로이 드러났다.
◆알렉사 고유의 6만4720개 스킬과 구글어시스턴트의 2201개 액션 조사결과
연구원들은 구글 어시스턴트와 알렉사 앱 개발자의 개인 정보 보호 정책이 충분히 ‘정보를 제공하고’ ‘의미있는’ 것인지 판단하기 위해, 스킬과 액션의 웹 리스트 내용을 지워버리고, 정책과 설명에 제공된 관행을 알아내기 위한 분석을 했다. (구글과 아마존 모두 음성 플랫폼을 위해 앱 스토어프론트를 웹에서 이용할 수 있게 한다.)
이들은 아마존의 기술 허가 목록과 개발자 서비스 계약을 끌어와 데이터 관행과 관련된 명사 사전을 편찬하는 키워드 기반 접근법을 개발했다. 이들은 앱의 방침과 설명에서 추출된 문구를 바탕으로 동사와 명사(예: ‘액세스’, ‘수집’, ‘집합’, ‘모으기’, ‘주소’, ‘이메일’)를 사용해 관련 문구를 찾아냈고, 정확성을 위해 수작업으로 이를 검토했다.
총 6만4720개에 이르는 알렉사 고유의 ‘스킬’과 2201개의 구글 어시스턴트 ‘액션’(연구의 접근방식을 통해 지워질 수 있는 모든 스킬과 액션)에 걸쳐 연구진은 문제가 되는 세 가지 유형의 정책을 식별하고자 했다.
이 세가지는 ▲데이터 작업 관행을 개괄적으로 설명하지 않는 정책 ▲불완전한 정책(즉, 설명에는 데이터 수집을 언급하지만 정책을 자세히 설명하지 않는 앱) ▲누락된 정책이다.
연구자들은 알렉사 ‘스킬’ 4만6768개(72%)와 구글 어시스턴트 ‘액션’ 중 234개(11%)가 정책에 대한 링크를 포함하지 않으며 1755개의 스킬과 80개의 액션이 정책연결이 되지 않는다고 보고했다. (약 700개의 링크는 광고가 있는 정책과 무관한 웹페이지로 연결되고, 17개의 액션은 공개적으로 볼 수 없는 구글 독스 문서로 연결된다.)
이러한 분열적 모습은 부분적으로는 아마존이 구글과 달리 개발자들에게 개인 정보를 수집하지 않으면 정책을 제공할 필요가 없도록 하는 느긋한 정책을 갖고 있기 때문에 생긴 결과다.
그러나 연구진은 사용자들의 정보를 수집하는 ‘스킬’들이 아마존의 자동화된 인증 과정에서 이를 신고하지 않는 쪽을 선택함으로써 그 요구사항을 우회하는 경우가 많다고 지적한다.
‘스킬’과 ‘액션’ 정책의 상당 부분은 개인 정보 보호 정책 링크(1만124개 스킬 및 239개 액션)를 공유하며, 3205개 기술이 상위 3개 중복 링크를 공유한다. 여러 개의 음성 앱을 가진 앱 유통자의 탓도 있지만 링크 중 하나가 끊기면 이런 관행은 문제가 된다. 연구진은 이처럼 끊어진 링크를 사용하는 217개의 아마존 ‘스킬’뿐 아니라 구글이 요구하는 ‘액션’이름이 아닌 회사명과 주소가 들어간 일반정책으로 연결되는 ‘액션’들도 발견했다.
연구원들은 이 연구결과를 바탕으로 구글과 아마존이 앱 정책과 관련된 자신들의 요구 사항을 위반했다고 비난하고 있다.
알렉사의 공식 일기예보 스킬은 사용자의 위치를 요구하지만 개인 정보 보호 정책을 제공하지 않는 반면, 구글이 개발한 기본(101) 액션들은 개인정보 보호 정책과의 연계가 되지 않는다.
게다가, 구글이 개발한 9가지 액션들은 구글 어시스턴트 조치가 앱에 특화된 정책을 갖도록 한 구글 정책을 무시한 채 다른 두 가지 일반 개인정보 보호정책으로 사용자를 이끈다.
아마존 대변인은 이 연구결과에 대한 의견 요청에 “우리는 개인 정보를 수집하는 스킬 개발자들에게 개인정보 보호정책을 제공하고, 개인정보 보호정책 및 관련 법률에 따라 수집한 정보를 사용할 것을 요구한다. 우리는 논문을 면밀히 검토하고 있으며, 계속해서 저자들과 협력해 그들의 저작에 대해 더 잘 이해해 나갈 것이다. 잠재적 이슈에 관심 갖게 도움을 준 독립 연구자들의 연구 성과를 높이 평가한다”고 말했다.
구글 대변인은 ‘구글의 액션이 정책을 준수하지 않는다’는 연구 결과를 부인하며, “구글이 프로세스와 기술을 지속적으로 강화함에 따라 프라이버시 정책을 깨뜨린 써드파티 액션들은 제거돼 왔다”고 말했다 그는 “클렘슨 대 연구원과 접촉해 소비자 보호에 대한 그들의 의지에 감사를 표했다”고 말했다.
◆개인정보 보호 정책 내용 및 가독성
클렘슨대 연구원들은 음성 앱 프라이버시 정책 콘텐츠에 대한 조사에서 구글과 아마존의 음성 앱(스킬과 액션) 대다수가 어떤 데이터 수집을 할 수 있는지 명확하게 정의하지 않고 있다는 것을 발견했다.
알렉사의 스킬 3233개와 구글 어시스턴트 액션 1038개 만이 각각 스킬과 액션 이름을 명시적으로 언급하고 있었으며, 일부 어린이용 스킬의 개인정보보호정책은 스킬을 통해 개인정보를 수집할 수 있다고 언급하고 있다.
실제로 알렉사의 키즈 카테고리의 137개 스킬은 데이터 수집이 발생할 수 있지만 일반적인 정책만 제공해 아마존 알렉사의 어린이용 스킬에 대한 프라이버시 요구정책과 상충된다.
연구원들이 발견한 더욱 문제가 되는 부분은 사용자 이메일 주소·계정 비밀번호·이름·생일·위치·전화번호·건강 데이터·성별 데이터, 또는 누구와 이 정보를 공유하는지를 당사자에게 알리지 않는 50개의 알렉사 기술이 발견됐다는 점이다. 또 다른 스킬들은 정책을 제공하지 않고 개인정보를 수집함으로써 어린이 온라인 개인정보보호법(COPA), 건강보험 이동성과 결과보고책무업(HIPAA), 캘리포니아 온라인 개인정보보호법(CalOPA) 등의 규정을 위반할 가능성이 있다.
연구진은 구글과 아마존이 자사 AI음성비서 스마트스피커 음성앱 사용자들에게 정책을 알려주지 않는 것을 넘어 관련 개인정보보호 정책의 길이와 형식도 문제삼고 있다 스킬과 액션 정책의 절반 이상(58%)은 1500단어 이상이고 알렉사나 구글 어시스턴트를 통해 듣거나 볼 수 있는 것은 하나도 없다. 대신 매장 웹페이지나 스마트폰 동반 앱에서 봐야 한다.
연구진은 “아마존 알렉사와 구글 어시스턴트는 앱 특성 별 개인 정보 보호 정책을 명시적으로 요구하지 않아 개발자들이 모든 서비스의 데이터 사용 관행을 설명하는 동일한 문서를 제공하게 된다”며 “이는 최종 사용자들의 불확실성과 혼란으로 이어진다···고객들에게 제공되는 문서는 스킬의 능력에 대해 올바로 이해할 수 없게 한다”고 썼다. 이들은 또 “개발자가 적절한 의도와 주의를 가지고 개인정보 보호정책을 써도 정책과 실제 코드 사이에 약간의 불일치가 발생하는 경우도 있다. 스킬에 대한 개인정보 보호정책에 대한 업데이트가 반영되지 않을 수도 있다”고 주의를 환기했다.
연구진은 음성 앱의 상호작용 모델을 취해 데이터 수집 기능을 스캔하는 앱 내장 인텐트에 들어가는 솔루션을 제안했다. 즉, 스킬이 이러한 특징(개인정보 수집)기능을 가지고 있음을 사용자에게 알리는 응답 솔루션을 만들자는 것이다.
연구진은 “이 인텐트는 앱이 처음 활성화될 때 사용자에게 간단한 개인 정보 취급 통지를 큰소리로 읽어줄 수 있다고 말한다. 이 인텐트는 또한 사용자들에게 개발자들이 제공하는 세부적인 정책을 살펴보라고 조언할 수 있다.
이들은 “이렇게 하면 방금 활성화한 스킬이 어떤 정보를 수집하고 사용할 수 있는지 사용자들에게 더 잘 이해시킬 수 있을 것이다. 사용자들은 또한 프라이버시 정책의 간략한 버전을 얻기 위해 나중에 이 인텐트를 실행하도록 요청할 수 있다”고 말했다.
연구진은 “향후 이러한 접근 방식을 확장해 개발자들이 음성 앱에 대한 개인 정보 보호 정책을 자동으로 생성할 수 있도록 할 계획”이라고 말했다.
무단전재 및 재배포 금지
기사제보 및 보도자료 news@aitimes.com