익명으로 AI에 말 걸 수 있다는 착각, Opus 4.7이 깨버렸다

저널리스트 한 명이 자기 이름을 말하지 않고 Claude Opus 4.7에게 말을 걸었는데요. 모델은 몇 차례의 대화 만에 “Kelsey 맞으시죠?“라고 응수했습니다. AI 챗봇 앞에서 우리가 진짜로 익명일 수 있는가 — 이 질문이 다시 수면 위로 올라왔습니다.

무슨 일이 있었나

Vox·Future Perfect의 저널리스트 Kelsey Piper는 평소 AI 안전과 정체성 문제를 자주 다뤄온 인물입니다. 이번에 그는 의도적으로 자기 신원을 밝히지 않은 채 Claude Opus 4.7과 대화를 시작했습니다. 그런데 몇 턴이 지나기도 전에 모델이 그가 누구인지 짚어냈다고 합니다.

핵심은 그가 특별히 자기 이름이나 직업을 흘린 게 아니라는 점인데요. 관심사, 질문 방식, 사고 흐름 같은 문체적 지문만으로 모델이 사용자를 식별해낸 것입니다.

왜 이게 가능해졌나

Opus 4.7부터 강화된 메모리·컨텍스트 능력이 주된 원인입니다. 100만 토큰 컨텍스트 윈도우를 다루는 모델은 단순히 긴 문서를 읽는 데 그치지 않습니다. 학습 데이터에 포함된 공개 글, 인터뷰, 트윗까지 종합해서 “이런 식으로 질문하는 사람은 누구일까"를 추론하는 능력이 비약적으로 올라갔습니다.

저널리스트, 연구자, 유명 개발자처럼 공개적으로 글을 많이 써온 사람일수록 더 빠르게 식별됩니다. 모델 입장에선 이미 학습 코퍼스 안에 그 사람의 사고방식 샘플이 충분히 들어있기 때문입니다.

“익명 사용자"라는 가정의 붕괴

지금까지 AI 서비스의 프라이버시 논의는 대체로 계정·로그·IP 같은 메타데이터 차원에 머물러 있었는데요. “로그인 안 하고 쓰면 익명이지” 같은 직관이 통했습니다.

하지만 Opus 4.7 사례는 다른 차원의 문제를 던집니다. 계정 정보 없이도 모델이 사용자를 식별한다면, 익명성은 기술적으로 보장하기가 사실상 불가능해집니다. 특히 다음 시나리오에서 문제가 커집니다.

• 내부 고발자가 AI 도구로 문서 초안을 다듬을 때
• 활동가가 민감한 주제에 대한 자문을 구할 때
• 환자가 익명으로 의료 상담을 받을 때

이들은 모두 “내가 누군지 모르는 채로 응답해주세요"를 전제로 합니다. 그런데 모델이 그 전제를 스스로 뚫어버리면, 사용자는 자신이 노출됐다는 사실조차 알지 못합니다.

모델이 알아봤다는 게 곧 데이터 유출은 아니다, 그러나

물론 Opus 4.7이 “당신은 Kelsey입니다"라고 말한다고 해서 그 정보가 외부로 새는 건 아닙니다. 대화는 Anthropic의 정책에 따라 처리되고요. 하지만 두 가지 새로운 위험이 생깁니다.

첫째, 모델 자체가 식별자가 됩니다. 누가 어떤 질문을 했는지 모델이 추론할 수 있다면, 그 추론 결과는 응답 톤, 주제 회피, 답변 깊이에 영향을 줍니다. 사용자는 자기도 모르게 “Kelsey에게 맞춤화된 답변"을 받게 되는 셈입니다.

둘째, 제3자 추론 위험입니다. 같은 모델을 다른 사람이 같은 방식으로 사용해서 “이 글을 쓴 사람이 누굴까"를 묻는다면, 모델이 그럴듯한 후보를 짚어낼 수 있다는 뜻입니다. 익명 글쓰기의 안전판이 약해집니다.

사용자가 할 수 있는 것

완전한 익명을 원한다면 결국 본인의 글쓰기 패턴 자체를 바꿔야 하는데요. 현실적으로 쉽지 않습니다. 평소에 쓰던 어휘, 문장 길이, 즐겨 던지는 질문 같은 것들이 모두 식별 단서가 되기 때문입니다.

당분간 가장 안전한 선택은 — 민감한 주제는 AI가 아닌 다른 도구로 처리하거나, 적어도 “이 모델이 나를 알아볼 수 있다"는 전제를 깔고 사용하는 것입니다. 모델 회사들도 “사용자 식별 시도를 모델이 자제하게 하는” 가드레일을 본격적으로 고민해야 할 시점입니다.

AI에게 익명으로 말을 건다는 개념은 어쩌면 처음부터 환상이었는지도 모릅니다. Opus 4.7이 Kelsey를 알아본 순간, 우리는 새로운 질문 앞에 서게 됐습니다 — 모델이 나를 안다는 사실을 전제로 우리는 어떻게 AI를 써야 할까요? 익명성을 지키는 책임이 사용자 개인에게만 있어선 안 된다는 점만큼은 분명해 보입니다.