2026-09-29

AI 학습 데이터셋이 이미 공개 사진을 스크랩했습니다 — 일부는 여전히 정확한 GPS 좌표와 이름까지 담고 있었습니다

이 블로그가 주로 다뤄온 위험은 대체로 모양이 그려집니다 — 파일 하나가 플랫폼 하나, 받는 사람 한 명, 서버 하나로 가고, 그 안의 무언가(GPS 태그, 숨은 작성자 필드)를 반대편의 누군가가 읽어내는 식입니다. 2025년 워싱턴대학교·카네기멜런대학교·조지타운대학교 연구진이 발표한 한 논문은 전혀 다른 모양을 보여줍니다 — 누구에게도 특정해서 보낸 적 없이 그저 웹 어딘가에 공개로 올라와 있던 사진이, 몇 년 뒤 AI 모델 학습용 데이터셋을 만드는 자동 크롤러에 의해 수집됩니다 — GPS 태그와 촬영 시각까지 그대로 딸려서 말입니다.

연구진이 실제로 감사(audit)한 것

"A Common Pool of Privacy Problems"(Hong, Hutson, Agnew, Huda, Kohno, Morgenstern)라는 이 논문은 DataComp의 CommonPool — 공개 웹에서 스크랩한 이미지·캡션 128억 건 규모의 공개 데이터 풀이자 시각-언어 AI 모델 학습용으로 만들어진 데이터셋 — 을 감사했습니다. 128억 건 전체를 감사하는 것은 현실적으로 불가능해, 연구진은 그중 0.1%(약 1,280만 건) 표본으로 작업해 전체 풀에 무엇이 담겨 있을지 추정했습니다. MIT 테크놀로지 리뷰가 2025년 7월 18일 보도한 바에 따르면, 이 표본만으로도 여권·신용카드·운전면허증· 출생증명서 같은 신분증 사본 수천 건과, 실제 인물과 연결되고 그중 일부는 장애 여부나 신원조회 결과까지 담긴 입사지원 서류 800건 이상이 발견됐습니다.

굳이 뚫을 필요도 없었던 부분 — EXIF 태그는 그냥 거기 있었다

신분증과 이력서 이야기가 헤드라인을 장식했지만, 논문의 메타데이터 관련 절은 더 좁고 더 기계적인 발견을 담고 있습니다 — OCR이나 얼굴 인식 없이도, 이미지 파일 자체에 이미 내장돼 있던 것들입니다. 연구진은 "촬영 시각·위치정보·개인 신원과 관련된 비어 있지 않은 Exif 태그를 발견했고, 살펴본 결과 그중 다수가 실명을 드러냈다"고 적었습니다. GPSInfo 태그가 붙어 있던 이미지들만 따로 보면, 그중 28.6%가 정확한 위치정보를 가리켰습니다 — 도시 단위로 뭉뚱그려진 추정치가 아니라 정확한 좌표였습니다 — 그리고 그 그룹의 6.1%는 같은 파일의 메타데이터 다른 자리에 실명까지 함께 담고 있었습니다. 이 중 어느 것도 별도의 보호장치를 뚫어야 얻을 수 있는 정보가 아니었습니다. 데이터셋의 수집 파이프라인은 원본 이미지에 이미 붙어 있던 것을 그대로 가져왔을 뿐이고, 상당수 사진에는 카메라나 휴대폰이 기본값으로 새겨 넣는 바로 그 항목들이 그대로 붙어 있었습니다.

사진이 공개되는 순간 메타데이터가 붙어 있었는지 여부는 게시자가 실제로 통제할 수 있었던 유일한 변수입니다 — 그 이후 크롤러가 나타날지, 언제 나타날지는 게시자의 통제 밖입니다.

누구에게 되돌려 달라고 요청할 수도 없는 이유

이 블로그가 다뤄온 다른 모든 사건에는 반대편에 회사나 플랫폼이 있었습니다 — 적어도 원칙적으로는 삭제를 요청할 수 있거나 규제기관이 과징금을 부과할 수 있는 대상입니다. 공개 웹을 크롤링해 만든 학습 데이터셋은 그렇게 작동하지 않습니다. 논문의 공동저자 윌리엄 애그뉴는 MIT 테크놀로지 리뷰에 이 근본적인 구조를 이렇게 요약했습니다 — "온라인에 올린 것은 무엇이든 스크랩될 수 있고, 아마 이미 스크랩됐을 것이다." 플랫폼처럼 그 사진을 "소유"한 단일 주체가 없습니다 — 그 이미지는 이미 수십 개의 데이터셋 스냅샷 안에, 그리고 그 다음 단계인 모델 가중치 안에까지 들어가 있을 수 있고, 누구도 그 안에서 특정 사진 한 장의 기여분만 깔끔하게 빼낼 수 없습니다. 연구진 자신의 권고도 개별 이용자가 아니라 머신러닝 분야를 향한 것이었습니다 — 무분별한 스크래핑을 재고하고 그것이 기존 개인정보보호법을 어디서 위반하는지 검토하라는 것이었지, 이미 들어간 사진을 되돌려 뺄 수 있다는 주장이 아니었습니다.

게시 전 메타데이터 제거가 여기서 실제로 바꾸는 것 — 그리고 바꾸지 못하는 것

이미 메타데이터가 그대로 붙은 채 공개된 사진에 대해 NearScrub이 해줄 수 있는 것은 없습니다 — 파일이 게시된 뒤에, 하물며 이미 크롤링된 뒤에 되돌릴 방법은 없습니다. 게시하기 전 브라우저에서 EXIF/GPS/촬영시각을 지우는 것이 바꾸는 것은 더 좁고 철저히 앞을 향한 것입니다 — 결국 공개 URL에 자리 잡게 될 사본에 애초에 GPS 태그나 이름 필드가 붙어 있지 않았다면, 다음 주에 크롤러가 오든 5년 뒤에 오든 그 특정 경로로 가져갈 것이 아무것도 없습니다. 이 조치는 논문의 더 큰 발견이 실제로 다루는 다른 경로 — 프레임에 보이는 얼굴, 사원증이나 이력서에 적힌 읽을 수 있는 이름, 배경의 표지판 — 에는 아무 영향이 없습니다. 그중 어느 것도 메타데이터가 아니고, 메타데이터 도구는 그곳에 닿지 않기 때문입니다. 이 논문이 보여주는 것은 메타데이터 제거 도구가 부족하다는 것이 아니라, 공개 웹의 상당수 사진이 누군가의 크롤러가 도착하기 전에 애초에 지워진 적이 없었다는 것입니다.