요약
한 X 이용자가 2025년형 삼성 TV에서 루트 셸을 얻고, 늘 켜진 마이크 같은 사생활 침해 기능을 찾았다고 밝혔습니다.
X 계정 log4j의 작성자가 올린 글입니다. 자기 삼성 TV에 이상할 만큼 정확한 맞춤 광고가 계속 뜨자, 원인을 찾으려고 TV 내부를 직접 열어 보기로 했다고 합니다.
왜 중요한가
- 맞춤 광고의 원인으로 의심받던 TV 속 데이터 수집 기능을 소유자가 직접 들여다본 사례입니다.
- 다만 상세 분석 글은 아직 나오지 않았습니다. 지금 공개된 근거는 X 게시물과 스크린샷 두 장뿐입니다.
핵심 내용
- 펌웨어가 AES로 암호화돼 있어, 기기를 분해하는 대신 제로데이(아직 패치되지 않은 취약점)로 루트 셸을 얻었다고 했습니다.
- 작성자는 마이크가 늘 켜져 있는 기능이 있다고 했고, 공개한 서비스 목록에서 'alwaysonvoice' 항목을 표시해 두었습니다.
- 자동 콘텐츠 인식(ACR, 화면에 나오는 콘텐츠를 알아내는 기능), 위치 파악, 네트워크 지도 작성 기능도 찾았다고 했습니다.
- 맞춤 광고 서비스, DRM(저작권 보호 장치) 서비스 4종, 사용자 프로필 구축 기능도 있었다고 덧붙였습니다.
- 작성자는 3,000달러짜리 TV 앞에 시청자 말고도 삼성과 협력사 400곳이 함께 있는 셈이라고 비꼬았습니다.
HN 반응
- 스마트 TV 앱 개발 경험자들은 ACR과 상시 마이크 권한이 업계에서 흔하고, 공개된 목록은 Tizen 앱의 권한 정책 파일이라고 설명했습니다.
- 포장에 센서와 데이터 수집 내용을 밝히게 하는 법이 필요하다는 주장에, 규제는 설계가 복잡해 쉽지 않다는 반론이 붙었습니다.
이 내용은 벌써 열두 번은 올라왔습니다. 개 짖는 소리와 아기 울음소리 감지는 SmartThings 연동용으로 나오는 이 제품군이 내세우는 기능입니다.
요즘 리버스 엔지니어링(RE) 입문자들이 떼로 몰려와서, 자기들이 이해하지도 못하는 도구로 이해하지도 못하는 프로젝트를 하고 있습니다. RE를 해 본 사람이라면 첫 단계가 공개 문서, FCC 제출 서류, 특허 출원서 같은 것부터 읽는 일이라는 걸 압니다. 그 단계만 거쳐도 이 기기가 처음부터 무슨 기능을 하는지 알 수 있고, 글쓴이가 밝혀냈다는 내용은 RE 없이도 전부 알 수 있습니다.
그런데 이들은 Claude부터 꺼내 들었고, 자기네 AI에게 속아서 뭔가 대단한 걸 발견한 줄 알고 있습니다. 삼성이 수년째 홍보해 온 기능을 발견했을 뿐입니다.
삼성이 이렇게까지 공을 들여서 개나 아기가 있는지, 그것도 정확히 언제 소리를 내는지까지 몰래 알아내려 한다고 사람들이 생각하는 게 이해가 안 됩니다. 물론 정말 그런 일을 한다면 끔찍한 사생활 침해겠지만, 그렇게까지 애쓸 사업상 이유가 뭡니까?
"광고에 쓰려는 거다", "개나 아기가 있는지 정보를 파는 거다, 당연하지!" 정도는 그나마 이해가 갑니다. 그런데 소리를 낼 때마다 알림을 보낸다고요?
이 자극적인 반사적 반응들이 전제하는 것보다 훨씬 많은 사연이 있는 게 분명합니다. 이른바 '조사'라는 걸 하는 사람들이 너무 궁금해하질 않아요.
글쎄요, 개가 없던 사람이 갑자기 개를 키우게 되면 기기가 그걸 기록하겠죠. 이 사람들이 뭘 하는지 잘 모르고 있다는 말이 맞긴 해도, 저는 이렇게 축소하는 게 이해가 안 됩니다. 이 기기가 사용자 정보를 수집하고 소리를 듣는 건 사실이니까요(그것도 수천 달러짜리가 말입니다). 그리고 삼성이 내세우는 이런 감시 기능은 일반 사용자를 위한 상품이 아니라 데이터 업체를 위한 겁니다.
과하게 곧이곧대로 믿는 쪽은 제가 아니라고 생각합니다.
말씀하신 주장 중 어느 것도 이 '연구'가 뒷받침하지 못합니다. 제가 보기에 이 연구는 TV가 개 짖는 소리와 아기 울음소리를 감지할 수 있다는 것만 보여 줍니다.
TV가 이런 걸 감지할 수 있으니(삼성이 광고하는 기능입니다. 링크는 맨 아래에 있습니다) 그 데이터가 수집돼 삼성에 전송되고 팔려 나간다고 단정하시는 겁니다.
그래서 몇 가지 묻겠습니다.
아기가 울거나 개가 짖는 정보가 일일이 팔릴 만큼 가치가 있기는 합니까? 그게 현실적입니까?
광고하는 기능 말고 다른 목적으로 이 데이터가 실제로 네트워크를 통해 전송된다는 증거가 있습니까?
개 짖는 소리나 아기 울음소리 기능을 꺼 놓았을 때도 이걸 감시한다는 증거가 있습니까?
이런 자극적인 주장을 하는 쪽이 입증 책임을 져야 하는 것 아닙니까?
더 만들 수도 있지만 이 정도면 충분하다고 봅니다. 이 중 하나라도 실제 증거를 보고 싶습니다(사실 사실이길 바라지 않으니 보기 싫기도 합니다).
https://www.samsung.com/us/smartthings/experience-smartthings/?room=FRAN https://www.samsung.com/ie/smartthings/care-for-your-pet/
"최근에 아기가 생겼는데 지금은 아기가 없다"는 건 아마 구급차 쫓아다니는 의료과실 전문 변호사나 사모펀드 소유 심리상담 클리닉에 팔아먹는 데이터겠죠...
경찰도 집을 급습하려면 개를 키우는지 알고 싶어 합니다.
그야 그렇죠. 그런데 경찰이 삼성 같은 기업에 누군가의 거주 환경을 물어볼 만한 머리를 굴린 게 마지막으로 언제였나요? 그리고 그런 정보를 얼마나 정확하다고 믿겠어요?
경찰이 스스로 안 하더라도, 언젠가는 어떤 데이터 브로커가 AI 치안 패키지 같은 걸로 포장해서 팔 겁니다.
그렇죠, 경찰이 영장도 없이 Amazon Ring에 대량의 영상을 달라고 하는 일은 절대 없겠죠? 아, 잠깐, 할 수 있었고 실제로 했네요. 그러다 폭로되고 나서 중단됐죠.
Flock 카메라는 지금도 그렇게 하고요.
결국 이런 겁니다. 데이터가 있으면 그걸 가지러 온다는 거죠.
"최근에 아기가 없었는데 지금은 있다"는 건 제품 판매로 수천 달러의 가치가 있습니다.
본인 상상력이 모자라다고 해서 그쪽도 똑같을 거라고 생각하시는 겁니까? 권력이 조금이라도 있는 사람들은 믿기 어려울 만큼 쩨쩨할 수 있습니다.
사람마다 새로운 걸 배우는 방식이 다릅니다. RE 배경이 없는 사람들이 이런 도구를 만지작거리다 보면, 계기가 생기기 전까지는 개인정보에 신경 쓰지 않았을 수도 있죠. 돌아가는 길로 작동 원리를 알아내는 게 뭐가 문제인지 모르겠습니다. 소프트웨어든 개인정보든 마찬가지예요.
문제는 대부분 조사 결과를 지나치게 부풀린다는 점이라고 생각해요.
예를 들어 누군가가 s0ss는 YCombinator의 비밀 익명 해킹 집단과 수다를 떤다는 이유 하나만으로 전과가 여러 개 있는 불법 해커가 분명하다고 우긴다면 피곤하겠죠. 그런데 바로 이 글만 봐도 당신이 우리 편이라는 게 분명하네요! ;-)
휴대폰에서도 몇 년 전부터 있던 기능이에요.
LG 사태 이후로 경계하는 게 당연하긴 하지만, 사람들이 AI 서비스가 해 준 말을 직접 사실 확인도 안 하고 너무 빨리 결론으로 뛰어든다는 인상을 확실히 받아요.
릭 앤 모티에 릭이 가게를 여는 에피소드가 있습니다. 악마가 공짜로 나눠 주는 물건에서 저주를 없애 주는 가게입니다.
(놀랍게도 악마는 변호사를 선임할 생각을 하지 않는데, 악마라면 변호사를 많이 알 것 같으니 이상합니다. 물론 허구지만요.)
이런 감시 TV에도 AI로 비슷한 일을 할 수 있으면 좋겠습니다. 제 TV에서 "스마트"라는 쓰레기를 걷어 내고 키오스크로 쓰고 싶거든요.
그럴 수만 있다면야 좋겠죠. EFF는 말 그대로 수십 년째 이 문제를 외쳐 왔습니다. 미국의 DMCA와 세계 각국의(주로 EU의) 비슷한 우회 방지법 때문에 그런 행위는 중범죄가 되고, 처벌 수위도 사회 전체에 미칠 수 있는 어떤 영향과도 비교가 안 될 만큼 과합니다.
그래서 제가 그 만화 에피소드는 비현실적인 허구라고 한 겁니다.
그런 일을 해 주는 유료 서비스는 불법일 수 있다고 생각합니다. 하지만 자기 하드웨어에 직접 그렇게 한 사람을 기소하는 건 사실상 불가능할 겁니다.
자기가 만든 문제의 해결책을 파는 것보다 더 좋은 돈벌이가 어디 있겠어요! 삼성이 이걸 읽지 않았으면 좋겠네요...
TV를 와이파이에 연결하지 말고 약관에도 절대 동의하지 마세요. 짠, 멍청한 TV 완성입니다.
그냥 문진이 되는 거죠. 2025년형 TV 얘기인데요: https://news.ycombinator.com/item?id=50236846
OpenAI가 정말 그런 이유로 이 사람을 차단했다면 참 어리석은 일입니다. 리버스 엔지니어링에 LLM을 쓰면서 계정 걱정까지 해야 한다면 LLM의 가치가 크게 떨어지니까요.
Gamers Nexus의 주장을 검증하려고 LG 펌웨어를 리버스 엔지니어링하다가 금방 경고를 받았습니다. 이의를 제기했고 빠르게 받아들여졌습니다.
그 뒤로 daybreak blue를 신청했고 이후로는 아무 문제가 없었습니다.
표현 방식도 중요합니다. 방어나 사이버 보안 쪽 작업이라면 방법이 아니라 달성하려는 목적을 말하세요.
그리고 본인의 기기와 소프트웨어를 다루는 중이라고 밝히세요. (물론 실제로 그런 경우에 한해서요.)
개인 구독으로 하신 건가요? 제가 마지막으로 daybreak 접근 권한을 알아봤을 때는 조직 계정이 필요하다고 되어 있었습니다.
네, 개인 구독이었습니다. 개인도 신청할 수 있어요. 다만 방어 목적 질문용인 blue만 됩니다. 공격용인 red는 방어 목적으로 쓴다고 검증된 조직에만 열려 있습니다.
https://chatgpt.com/cyber
Daybreak이 기술적인 제한은 풀어 줄지 몰라도, 그런 사용 방식은 여전히 이용약관 위반 아닌가요?
잘 모르겠습니다. 플래그가 걸렸고, 제가 이의를 제기하면서 뭘 하고 있었는지 설명했더니 죄송합니다, 저희 실수입니다 하면서 플래그가 풀렸습니다.
약관에서 리버스 엔지니어링이 언급되는 곳은 여기 하나뿐입니다. 이건 그쪽 모델을 리버스 엔지니어링하는 경우에만 해당되고, 다른 것에는 해당되지 않습니다.
게다가 약관 전체가 보안과 개인정보 보호를 위한 내용인데, 제가 하던 일이 바로 그런 일이었습니다.
네, RE는 100% 약관 위반입니다. 약관이 엉성하게 쓰였다고 생각해요.
저는 Google Gemini를 아예 안 씁니다. 멍청하고 예민한 자동 차단 시스템이 제 모든 계정을 잠가 버릴 수도 있으니까요.
참고로 저는 지난 며칠 동안 오래전부터 궁금했던 DOS 게임들의 여러 부분을 신나게 리버스 엔지니어링했습니다. Jazz Jackrabbit에서 Arjan Brussee가 스크롤을 어떻게 구현했는지 드디어 이해했어요. 정말 기발합니다. 이 사람은 천재예요.
이해하기가 꽤 복잡해서 처음에는 Claude의 글 설명이 와닿지 않았습니다. 시각적으로 보여 주는 html/js 시뮬레이터를 부탁했더니 그제야 이해가 됐습니다.
지금까지 Claude가 거부한 적은 없습니다.
Claude는 오래된 일이라고 판단하면 거부하지 않아요. OAI는 키젠을 만드는 것 같다 싶으면, 그게 25년 된 것이라도 가끔 으르렁대기 시작합니다.