# OpenAI, 미국 정부, 그리고 Persona가 구축한 신원 감시 시스템 > Clean Markdown view of GeekNews topic #26984. Use the original source for factual precision when an external source URL is present. ## Metadata - GeekNews HTML: [https://news.hada.io/topic?id=26984](https://news.hada.io/topic?id=26984) - GeekNews Markdown: [https://news.hada.io/topic/26984.md](https://news.hada.io/topic/26984.md) - Type: GN+ - Author: [neo](https://news.hada.io/@neo) - Published: 2026-02-25T09:50:28+09:00 - Updated: 2026-02-25T09:50:28+09:00 - Original source: [vmfunc.re](https://vmfunc.re/blog/persona/) - Points: 2 - Comments: 1 ## Topic Body - 공개된 조사에 따르면 **OpenAI와 미국 정부, Persona**가 연계된 인프라에서 사용자의 신원 데이터를 감시·보고하는 **‘watchlistdb’ 시스템**이 운영되고 있음 - 해당 시스템은 **얼굴 인식, 금융 범죄 보고(SAR/STR), 정치인 유사도 분석, 암호화폐 주소 추적** 등 **269개 검증 절차**를 수행하는 것으로 코드에서 확인됨 - **Persona의 정부용 플랫폼(withpersona-gov.com)** 은 **FinCEN(미 재무부 금융범죄단속국)** 과 **FINTRAC(캐나다 금융정보분석센터)** 에 직접 보고서를 제출할 수 있는 기능을 포함 - **OpenAI의 사용자 인증 과정**은 Persona의 인프라를 통해 수행되며, 이 과정에서 **얼굴·신분증 이미지, 생체정보, 위치정보** 등이 수집·저장됨 - 동일 코드베이스가 민간 서비스와 정부 감시 시스템 모두에서 사용되고 있어, **AI 서비스 이용과 국가 감시 체계의 경계가 모호해진 상황**임 --- ### 조사 개요 - 연구진은 **Shodan, CT 로그, DNS, HTTP 헤더, 공개 소스맵** 등 공개 자료만을 이용해 분석을 수행 - **불법 접근이나 해킹 행위는 없었음**이 명시되어 있으며, 모든 데이터는 공개된 서버에서 수집됨 - 조사 결과, `openai-watchlistdb.withpersona.com` 및 `openai-watchlistdb-testing.withpersona.com`이라는 **OpenAI 관련 하위 도메인**이 발견됨 - 해당 서버는 **Google Cloud(Kansas City)** 에 위치하며, **Cloudflare 보호 없이 독립적으로 운영** - 인증서 투명성 로그에 따르면 **2023년 11월부터 2년 이상 가동 중** ### Persona 인프라와 정부 연계 - Persona는 **샌프란시스코 기반 신원 인증 기업**으로, 일반 서비스는 Cloudflare 뒤에서 운영됨 - 그러나 **OpenAI용 watchlistdb 인스턴스**는 별도의 GCP 서버에서 독립적으로 운용되어 **고위험 데이터 분리 목적의 전용 인프라**로 추정됨 - **withpersona-gov.com** 도메인은 **FedRAMP 인증(2025년 10월)** 을 받은 정부용 배포판으로, - **FinCEN 보고, 얼굴 인식, 금융 데이터 위젯, 실시간 사용자 모니터링** 기능을 포함 - **Okta 기반 로그인 시스템**과 **Cloudflare Access 보호 영역**이 존재 ### ONYX 배포와 소스 코드 노출 - 2026년 2월, `onyx.withpersona-gov.com`이라는 신규 서브도메인이 등장 - ICE(미 이민세관단속국)가 사용하는 **Fivecast ONYX 감시 도구**와 동일한 이름을 사용 - 코드상 직접적 연관은 없으나 **명칭과 인프라 유사성**이 확인됨 - 해당 서버는 **53MB 규모의 TypeScript 소스맵**을 인증 없이 공개 제공 - 내부 코드에는 **SAR/STR 보고, 얼굴 데이터베이스, PEP(정치적 노출 인물) 얼굴 비교, 암호화폐 주소 감시** 기능이 포함 - **269개 검증 항목**과 **13종 추적 리스트**가 정의되어 있음 ### 주요 기능 및 데이터 흐름 - **SAR(의심 활동 보고)**: FinCEN에 직접 전송 가능, 상태값(접수·경고·거부 등) 관리 - **STR(의심 거래 보고)**: FINTRAC에 제출, **Project SHADOW, LEGION 등 정보기관 코드명** 태그 가능 - **얼굴 데이터베이스**: 최대 **3년 보관**, 셀피를 리스트에 추가해 재검증 수행 - **PEP 얼굴 비교**: 사용자의 셀피를 **정치인·공직자 사진과 유사도 분석** - **Chainalysis 연동**: 암호화폐 주소 위험도 평가 및 지속 모니터링 - **OpenAI 연동**: 정부 플랫폼 내 **AI Copilot(AskAI)** 기능으로, 운영자 업무 지원용 채팅 도우미 ### 법적·윤리적 쟁점 - **OpenAI의 신원 인증 정책(2025년 도입)** 이전부터 watchlist 인프라가 가동된 사실이 확인됨 - **바이오메트릭 데이터 보관 기간**은 OpenAI가 밝힌 1년과 달리 코드상 3년으로 명시 - **일리노이주 BIPA(생체정보보호법)** 위반 가능성 제기 - **우크라이나 차단 정책**은 법적 제재 대상이 아님에도 포함되어 있음 - 사용자들은 **거절 사유나 이의 제기 절차 없이 접근이 차단**될 수 있음 ### 결론 - 동일한 Persona 코드베이스가 **민간 AI 서비스(OpenAI)** 와 **정부 감시·금융 보고 시스템** 모두에서 사용되고 있음이 확인 - 코드에는 **FinCEN·FINTRAC 보고, 얼굴 인식, 정치인 유사도 분석, 암호화폐 추적** 등 **감시 수준의 기능**이 포함 - 직접적인 데이터 전송 경로는 확인되지 않았으나, **AI 서비스 이용 과정이 국가 감시 체계와 기술적으로 연결될 수 있는 구조**임 - 연구진은 Persona와 OpenAI에 대해 **FedRAMP 준수 검증 및 18개 항목의 공식 답변**을 요구하며, 후속 공개를 예고함 ## Comments ### Comment 51841 - Author: neo - Created: 2026-02-25T09:50:28+09:00 - Points: 1 ###### [Hacker News 의견들](https://news.ycombinator.com/item?id=47140632) - 오늘 다른 스레드에서 썼던 내 댓글을 그대로 가져옴. Persona 보안팀의 공식 대응문이 [여기](https://withpersona.com/blog/post-incident-review-source-map-exposure-non-production-subdomain)에 있고, Rick이 Twitter에서 활발히 의견을 주고받는 중임. 관련된 다른 스레드는 [이곳](https://news.ycombinator.com/item?id=47136036)에서 볼 수 있음 - 그 포스트로 **위기 대응**을 꽤 잘한 것 같음 - 그런데 해당 withpersona.com 링크가 지금은 404를 반환함 - Fivecast ONYX는 ICE와 CBP가 수백만 달러를 들여 구매한 **AI 기반 감시 플랫폼**임. 소셜미디어와 다크웹에서 데이터를 수집해 감정 변화, 위험 점수, 폭력 성향 등을 추적한다고 함. 결국 이런 기술이 등장할 걸 예견했는데, 이제는 **SNS 계정이 없는 게 범죄처럼** 여겨질 날이 올지도 모르겠음 - Persona의 [공식 해명](https://withpersona.com/blog/post-incident-review-source-map-exposure-non-production-subdomain)에 따르면, ‘onyx’는 내부 프로젝트 코드명일 뿐이고 포켓몬 Onyx에서 따온 이름이라 Fivecast ONYX와는 무관하다고 함 - 범죄까진 아니겠지만, **사회 신용 점수**에서 큰 감점 요인이 될 수도 있음 - 사실상 이미 그런 셈임. 미국 비자 신청 시 공개 SNS 프로필을 제출하지 않으면 거절될 수 있음. 정부가 이런 기술에 수십억 달러를 쓰는 이유가 단순 심사 때문이라고 믿는다면 순진한 것임 - 국경을 넘을 때 SNS 계정이 없으면 이미 **의심받는 분위기**임 - 저 300개 이상의 플랫폼 목록이 궁금함 - 이건 그냥 계좌 개설 시 하는 **KYC 절차** 아닌가 싶음. 내가 뭘 놓친 건지 모르겠음 관련 고객 사례는 [여기](https://withpersona.com/customers/openai)에서 볼 수 있음 - 데이터 요청에 대한 Persona의 답변을 공유함. 요약하자면, Persona는 대부분의 경우 **‘서비스 제공자’(processor)** 로서 고객사를 대신해 데이터를 처리하며, LinkedIn·FoxCorp·Reusable Persona 같은 일부 서비스에 한해 ‘컨트롤러’ 역할을 함. 개인정보 관련 권리를 행사하려면 해당 고객사에 직접 문의해야 함. 자세한 내용은 [개인정보 공지](https://withpersona.com/legal/privacy-notices)와 [DSAR 페이지](https://withpersona.com/dsar)에서 확인 가능함. TL;DR — “우린 책임 없음, LinkedIn에 문의하셈”이라는 요지임 - 하지만 나는 캘리포니아 주민으로서 **Right to Know 법**에 따라 LinkedIn 관련 데이터 요청을 했을 때 전혀 다른 답변을 받았음 - 이런 대응은 정치 후원 이메일에서 구독 해지하려는 것과 똑같은 **무책임한 회피**임. 결국 같은 단체가 이름만 바꿔 다시 메일을 보냄. 이런 문제를 막을 강력한 법이 필요하지만, 현실적으로 기대하기 어려움 - 이 개인 사이트는 정말 **재치 있고 유쾌함**. 게다가 내용도 알차서 더 좋음 - 나도 글에 집중하려고 오랜만에 **물리 볼륨 버튼**을 눌러봤는데, 묘하게 생기가 돌았음 - Persona의 입장은 [여기](https://withpersona.com/customers/openai)에서 확인 가능함 - 기술이 발전할 때마다 우리는 **‘자유와 편리함’의 약속**을 듣지만, 결국엔 그 반대의 결과를 맞이함. 사회가 이런 **깨진 사회적 계약**을 얼마나 더 버틸 수 있을지 의문임 - 손실은 사회화하고 이익은 사유화하는 구조가 이제는 단순한 **금융 영역을 넘어 인간의 자유**까지 침범하고 있음 - 이런 상황에서 개인이 **주체적 선택권**을 가지는 게 출발점임. 대기업이 “우리가 알아서 업데이트해줄게요”라고 하면, 원하든 원치 않든 결국 그 기술을 쓰게 됨 - 혹시 **1984** 읽어봤음? 마지막에 누가 이기는지 떠올려보길 - 이번 사건의 본질은 FedRAMP 인증 시스템에서 53MB짜리 **Vite 개발용 소스맵**이 노출된 구체적 보안 실패임. 기술이 우리를 배신했다기보다, 왜 이런 감시 인프라가 법적으로 요구되는지, 그리고 보안 심사가 왜 이런 걸 놓쳤는지가 진짜 질문임 - 이미 사회는 **붕괴 조짐**을 보이고 있음. 그래서 AI 기반 권위주의가 등장함. 불안정한 사회일수록 사람들은 “권위주의가 낫지 않을까”라고 착각하지만, 그건 절대 대가를 치를 가치가 없음 - 왜 이렇게 많은 엔지니어들이 사회에 해로운 걸 만드는지 궁금함 - 이유는 간단함. **돈이 잘 벌리기 때문**임 - 대부분은 Sinclair의 법칙과 “숨길 게 없으니 괜찮다”는 **무감각한 사고방식** 때문임 - 자신이 만드는 게 나쁘다고 생각하지 않거나, 어차피 누군가 만들 거라 믿거나, 혹은 **무지**해서임 - 일부 경영진은 중국이나 특정 정당을 **실존적 위협**으로 보고 감시·군사화 강화가 필요하다고 믿음. 직원들은 이런 내러티브를 그대로 받아들이는 경우가 많음. 물론 근본적인 이유는 **돈**임 - 결국 **악이 더 높은 보상**을 주는 구조임 - “미국의 위대한 지도자가 멍청하다”고 말했다는 이유로 내가 몇 개의 **감시 리스트**에 올라 있을지 궁금함 - “이스라엘이 학살을 저지르고 있다”고 말한 이유로도 리스트에 오를 수 있겠지 - 다른 나라에 살면서 LinkedIn을 통해 Persona로 신원 인증을 한 사람은 뭘 할 수 있을까 궁금함 - 각자 나라에서 **데이터 삭제 운동**을 조직하고, 미국 디지털 서비스에 세금을 부과하거나, **자국 기술 대안**을 키워야 함. 행동하지 않으면 아무 일도 바뀌지 않음. **사람의 힘이 돈보다 강함**을 잊지 말아야 함 - [이 블로그 글](https://thelocalstack.eu/posts/linkedin-identity-verification-privacy/)에서 본 팁을 공유함 1. 데이터 요청: idv-privacy@withpersona.com 또는 privacy@withpersona.com으로 이메일 보내기 (GDPR 기준 30일 내 응답) 2. 삭제 요청: 인증이 끝났다면 Persona가 여권 스캔이나 얼굴 데이터를 보관할 이유가 없음 3. DPO(dpo@withpersona.com)에게 연락해 AI 학습용 데이터 활용에 이의 제기 가능 4. **파란 배지**가 영구적인 생체정보만큼의 가치를 가지는지 다시 생각해볼 필요가 있음