구글 전 엔지니어, 영업비밀 도용 혐의로 기소

 (apnews.com)
1P by GN⁺ | ★ favorite | 댓글 1개
  • 구글 전 소프트웨어 엔지니어 Linwei Ding이 중국 기반 회사 2곳과 몰래 일하며 구글의 AI 영업비밀을 빼낸 혐의로 미국 법무부에 기소됨
  • Ding은 캘리포니아 Newark에서 체포됐고, 연방 영업비밀 절도 4개 혐의가 적용돼 각 혐의당 최대 징역 10년형을 받을 수 있음
  • 2019년 구글에 입사한 Ding은 슈퍼컴퓨팅 데이터센터 관련 기밀 정보에 접근했으며, 2년 전부터 수백 개 파일을 개인 Google Cloud 계정에 올린 것으로 기소장에 적시됨
  • 중국의 한 초기 기술 회사는 Ding에게 CTO 직책과 월 약 14,800달러, 연간 보너스, 회사 주식을 제안했고, Ding은 별도 중국 기반 AI 스타트업의 CEO도 맡은 것으로 검찰은 봄
  • 구글은 내부 조사 뒤 “수많은 문서”가 도난당했다고 판단해 법 집행기관에 넘겼고, FBI는 Ding의 자택과 개인 계정에서 구글 기밀 정보가 담긴 500개 초과 고유 파일을 확보함

기소와 체포

  • 전 구글 소프트웨어 엔지니어 Linwei Ding은 회사의 AI 영업비밀을 훔친 혐의로 기소됨
  • 미국 법무부는 Ding이 중국 기반 회사 2곳과 비밀리에 일하는 동안 구글의 AI 기술을 빼냈다고 봄
  • Ding은 중국 국적의 38세 남성으로, 캘리포니아 Newark에서 체포됨
  • 적용된 혐의는 연방 영업비밀 절도 4개이며, 각 혐의는 최대 징역 10년까지 가능함

법무부와 FBI가 본 위험

  • Merrick Garland 법무장관은 샌프란시스코에서 열린 American Bar Association 콘퍼런스에서 이 사건을 발표함
  • 법 집행 당국은 중국 경제 스파이 행위와 AI를 포함한 신흥 기술의 국가안보 우려를 반복해서 경고해 왔음
  • FBI 국장 Christopher Wray는 중국 기반 회사 관련자들이 미국 혁신을 훔치려 한 사례로 봄
  • Wray는 미국 기업의 혁신 기술과 영업비밀 도난이 일자리 손실, 경제적 결과, 국가안보 결과로 이어질 수 있다고 말함

구글의 조사와 대응

  • 구글은 해당 직원이 수많은 문서를 훔쳤다고 판단하고 사건을 법 집행기관에 넘김
  • 구글 대변인 Jose Castaneda는 기밀 상업 정보와 영업비밀 절도를 막기 위한 엄격한 보호장치를 갖추고 있다고 말함
  • 내부 조사에서 Ding이 여러 문서를 훔친 정황을 발견했고, 구글은 FBI와 계속 협력하겠다고 밝힘
  • Ding의 변호인으로 등록된 변호사는 수요일 저녁 논평하지 않음

AI 기술이 집행 우선순위가 된 이유

  • AI는 첨단 기술 경쟁의 주요 전장으로 여겨지며, 지배권은 상업적·안보적 영향을 가질 수 있음
  • 법무부 지도부는 최근 몇 주 동안 외국 적대 세력이 AI 기술을 활용해 미국에 부정적 영향을 줄 수 있다고 경고해 왔음
  • Lisa Monaco 법무부 부장관은 지난달 연설에서 행정부의 다기관 Disruptive Technology Strike Force가 AI를 집행 우선순위 최상단에 둘 것이라고 말함
  • Wray는 지난주 콘퍼런스에서 AI와 다른 신흥 기술이 미국 정치 과정에 개입하려는 적대 세력의 시도를 더 쉽게 만들었다고 봄
  • Garland는 AI가 장점과 단점, 큰 가능성과 큰 해악의 위험을 함께 가진다고 말함

기소장에 담긴 행위

  • Ding은 2019년 구글에 채용됐고, 회사의 슈퍼컴퓨팅 데이터센터 관련 기밀 정보에 접근할 수 있었음
  • 기소장상 Ding은 2년 전부터 수백 개 파일을 개인 Google Cloud 계정에 업로드하기 시작함
  • 파일 절도가 시작된 지 몇 주 안에 Ding은 중국의 초기 기술 회사에서 CTO 자리를 제안받은 것으로 검찰은 봄
    • 해당 회사는 AI 기술 사용을 내세웠음
    • 제안 조건은 월 약 14,800달러, 연간 보너스, 회사 주식이었음
    • Ding은 중국으로 이동해 해당 회사의 투자자 미팅에 참여하고 자본 조달을 추진함
  • Ding은 별도로 “슈퍼컴퓨팅 칩으로 구동되는 대형 AI 모델” 훈련을 목표로 하는 중국 기반 스타트업을 설립하고 CEO를 맡은 것으로 기소장에 적시됨
  • 검찰은 Ding이 두 관계를 구글에 공개하지 않았다고 봄
  • 구글은 Ding을 주니어 직원으로 설명함

사임 뒤 드러난 정황과 압수수색

  • Ding은 12월 26일 구글에서 사임함
  • 사임 3일 뒤 구글 관계자들은 Ding이 베이징의 투자자 콘퍼런스에서 중국 회사 중 한 곳의 CEO로 소개된 사실을 알게 됨
  • 구글 관계자들은 Ding이 실제로 중국에 있을 때 미국 구글 건물에 있는 것처럼 보이도록 다른 직원이 Ding의 출입 배지를 스캔한 감시 영상을 검토함
  • 구글은 Ding의 네트워크 접근을 중단하고 노트북을 잠근 뒤, 네트워크 활동 기록에서 승인되지 않은 업로드를 발견함
  • FBI는 1월 Ding의 자택에 수색영장을 집행해 전자기기를 압수함
  • 이후 FBI는 구글에서 훔친 기밀 정보가 포함된 개인 계정 콘텐츠에 대해 추가 영장을 집행했고, 500개 초과 고유 파일을 확보함

함께 보면 좋은 글 β

GN⁺   [-]
Hacker News 의견들

  • 놀랍지는 않음. 특정 전공으로 졸업해서 그 업계에 취업한 뒤, 영업비밀/IP를 중국으로 보내 경쟁 회사를 만들려던 사람을 알고 있었음
    결과는 별로 좋지 않았고, 어느 회사에서도 6개월 이상 버티지 못하다가 결국 포기하고 귀국한 것으로 앎

    • 저장소 자체는 대개 큰 가치가 없음
      거기 있는 알고리즘 몇 개가 시간을 아껴줄 수는 있지만, 돈이 되는 건 대개 설계와 데이터임. 이번 사람도 거기에 집중한 것으로 보임
      Google 저장소를 복제해도 아무 임의의 가상머신/Docker에서 의미 있는 걸 돌리기는 거의 불가능할 가능성이 큼. 서로 연결된 서비스, 인증서, 엉망인 코드, 겹겹이 쌓인 임시방편까지 전체 스택을 띄우려면 만든 사람들의 암묵지에 의존해야 함
      반면 상세한 설계 문서와 의욕 있는 중국 팀, 지역 당국의 자금 지원이 있으면 몇 달 안에 Alibaba Cloud에서 꽤 비슷한 복제품을 네이티브로 돌릴 수 있음
    • “어느 회사에서도 6개월 이상 버티지 못했다”는 말이 이해가 안 됨. 영업비밀/IP를 긁어모으는 데 몇 달이나 필요할까 싶음
      소프트웨어 엔지니어링에서는 첫날부터 저장소 접근 권한을 받는 경우가 많고, 다른 업계에서도 6개월 뒤에도 접근 못 하는 건 현실적으로 영원히 접근 못 할 가능성이 큼
      또 “결국 포기하고 귀국했다”고 했지만, 원래 계획이 그거였다는 설명과도 맞지 않음. 어떤 의미에서 잘 안 풀렸다는 건지 모르겠음
    • 그런 경우라면 FBI에 신고할 만한 명확한 사안으로 보임. 물론 그 사람이 주변에 자기 계획을 떠벌리고 다녔다는 전제에서
    • 그 사람이 자기 계획을 그냥 여기저기 말하고 다녔다는 건가?
    • “영업비밀을 보내기 위해 취업한다”와 “새 회사에서 모두가 하듯이 배운 경험을 적용한다” 사이에 명확한 선이 있나?

  • AP News가 링크를 안 달아놨길래 기소장을 가져옴
    https://www.justice.gov/opa/media/1341356/dl?inline

    • 흥미로움. 이 사람은 복사/붙여넣기로 소스 코드를 복사했고, 일반 Google 문서도 복사한 것으로 보임
      이미 비밀 자료 업로드로 적발된 뒤 Google을 그만두고 중국행 표를 샀는데, 여행을 몇 주 미룬 덕분에 Google이 추가 위반을 찾아내고 FBI에 연락할 시간이 생겨 체포된 것임
      Google은 과거 위반 사실을 알기 전까지 FBI에 연락하지 않았음. 그렇다면 무엇이 계기였는지가 궁금해짐. 예전 문서가 더 기밀성이 높아서인지, 수가 많아서인지, 아니면 이전에 내려받은 데이터를 모두 파기했다고 거짓말했기 때문인지
    • 최근 Xiaoxing Xi, Sherry Chen, Anming Hu처럼 “스파이”로 잘못 기소된 사례가 꽤 있었음
      결국 모든 혐의가 취하됐는데, 이번 사건은 어떻게 될지 궁금함

  • Google은 직원의 영업비밀 절도에 꽤 경험이 있음: https://en.wikipedia.org/wiki/Anthony_Levandowski#Criminal_c...

    • 그가 사면받았다는 게 정말 놀라움
    • 이 사람이 Google의 직원 접근 추적 의지를 몰랐거나 과소평가했다는 점도 이중으로 난감함

  • 여기까지 내려온 사람이 있다면, 눈에 띈 점 하나는 Google이 노트북을 잠근 뒤 이 사람의 네트워크 트래픽을 분석해 여러 사실을 확인했다고 밝힌 부분임
    Google 같은 대기업에서 일한다면, 직원 접근 네트워크의 모든 패킷은 포렌식 목적상 기록되고 색인화된다고 봐야 함
    Google이 공개적으로 말할 만한 내용은 아니지만, 정교한 사이버 첩보의 주요 표적이 되는 회사라면 대규모 네트워크 트래픽을 기록할 수 있는 전문 장비에 큰돈을 쓰는 것이 표준 관행임

    • 모든 대기업에서 표준 관행임. 모든 것이 추적되고 기록됨
      경영진이 알면 안 되는 말을 동료에게 하고 싶다면 개인 휴대폰을 쓰고, 카페나 바에서 직접 만나 말하는 게 낫다
    • 정교한 위협 행위자에 노출된 회사만의 일이 아니라 모든 회사의 표준 운영 절차임. CrowdStrike나 SentinelOne 같은 EDR 업체가 거대해진 데는 이유가 있음
    • 왜 카메라로 사진을 찍어서 문서를 훔치지 않는 걸까? 내가 이 생각을 처음 한 천재인 것 같음

  • 결국 기소되는 사람들의 운영 보안은 항상 형편없음. 소스 코드나 문서를 빼내려 한다면 왜 피해 회사의 클라우드 저장소 제품을 쓰는 건지 모르겠음
    그냥 화면에 카메라를 대고 원하는 자료를 스크롤하거나, HDMI 캡처 같은 걸 쓰면 될 텐데

    • 생존자 편향일 수도 있음. 우리가 듣는 건 걸릴 만큼 허술했던 사람들뿐임
      안 걸리는 법을 아는 사람들은 잡히지 않으니, 우리가 들을 일이 없음
    • 평소 업무에서 발생하는 Google 관련 트래픽처럼 보일 거라고 생각했을 수도 있음
      예를 들어 Tor IP 주소 같은 건 훨씬 눈에 띌 테니까
    • “결국 기소되는 사람들의 운영 보안은 항상 형편없다”는 건 정의상 그렇다고 볼 수 있음
    • 펜과 종이도 가능함

  • 이 사람은 Google Drive로 그걸 훔쳤다고 되어 있음. 이런 멍청한 행동은 믿기 어려울 정도임
    회사 하드웨어를 쓰는 동안 Google 안에서 사생활이라는 환상은 없고, 회사 서비스라면 더더욱 없음
    Levandowski 사건 이후 이 점은 꽤 명확해졌고, 당시 공개된 내용 중 일부는 일반적으로 예상하는 수준을 훨씬 넘을 만큼 침습적이었음

    • 이 사람은 Apple Notes를 거쳐 문서를 세탁했고, 처음에는 통했음. 여기 올린 기소장에 따르면 다음과 같음
      “DING은 총 500개가 넘는 Google Confidential Information 포함 고유 파일을 업로드했으며, 여기에는 1번부터 4번 혐의에 적힌 영업비밀이 포함된다. DING은 Google에서 지급한 MacBook 노트북의 Apple Notes 애플리케이션에 Google 원본 파일의 데이터를 복사해 넣는 방식으로 이 파일들을 유출했다. 이후 Apple Notes를 PDF 파일로 변환하고 Google 네트워크에서 DING Account 1로 업로드했다. 이 방식은 DING이 즉각적인 탐지를 피하는 데 도움이 됐다.”
    • 이 사람이 딱히 은밀했던 것도 아님
      “당국은 Ding이 실제로 중국에 있던 시간에도 미국의 Google 건물에 있었던 것처럼 보이게 하려고 다른 직원이 Ding의 출입 배지를 스캔한 감시 영상을 검토했다고 기소장은 말한다.”

  • “절도가 시작된 지 몇 주 안에, 검찰에 따르면 Ding은 AI 기술 활용을 내세운 중국의 초기 단계 기술 회사에서 최고기술책임자 자리를 제안받았고, 월급 약 14,800달러와 연간 보너스, 회사 주식을 제안받았다”
    범죄는 돈이 안 됨. 중견 AI 전문가에게는 꽤 시시한 뇌물임. 뒤에 뭔가 더 있는지 궁금함

  • 여기서 태어나고 자란 중국계 엔지니어를 고용하면 됨. DEI 할당도 맞추고 산업 스파이 가능성도 줄어들 것임
    보장은 없지만 도움이 될 것 같음

    • 기술 업계에서 중국계와 인도계 남성은 어떤 DEI 할당에도 포함되지 않음
    • 그러니까 미국인을 고용하라는 뜻인가
      그리고 아시아계 남성에 대한 DEI 할당은 없을 가능성이 큼

  • 어떻게 영업비밀을 훔칠 수 있나? 애초에 영업비밀은 특허처럼 내용을 공개하지 않아도 되도록 법적 보호를 포기하는 개념 아닌가?

답변달기