요약
맥은 문서화되지 않은 데몬으로 사용자의 가족과 인간관계, 일상을 추정한 그래프를 쌓습니다.
보안 연구자 다리오 파스퀴니와 미하우 바질리가 macOS 26에서 knowledgeconstructiond와 intelligenceplatformd라는 두 데몬(백그라운드에서 도는 시스템 프로그램)을 분석했습니다. 애플이 거의 설명하지 않은 이 저장소에 무엇이 담기는지 밝히고, 자기 그래프를 직접 들여다보는 오픈소스 도구 iKnow도 공개했습니다.
왜 중요한가
- 메시지 내용 없이 누가 언제 연락했는지만으로도 가족 구성과 수면 시간까지 드러난다는 점을 실제 구조로 보여 줍니다.
- 저자들은 이 저장소가 유출되면 자녀 나이, 가족 모임 장소, 설치된 비밀번호 관리자까지 한꺼번에 넘어간다고 경고했습니다.
- 그래프에 오른 가족과 지인은 동의한 적이 없고, 사용자도 내용을 확인하거나 잘못된 추론을 고칠 방법이 사실상 없습니다.
핵심 내용
- 연락처, 사진 속 얼굴, 캘린더, 가족 공유, 메시지 기록, 위치 등을 모아 SQLite 데이터베이스 51개에 암호화 없이 저장합니다.
- 중심 파일
graph.db는 181개 개체 유형과 278개 관계로 사람·장소·활동을 잇고, 항목마다 신뢰도와 출처를 남깁니다. - 가족 판별은 144개 특징을 쓰는 XGBoost(결정 트리를 여럿 엮은 머신러닝 기법) 모델 두 개가 매일 다시 계산합니다.
- 이 모델은 성씨나 주소보다 메시지와 사진에 함께 등장하는 패턴을 더 중요한 근거로 씁니다.
- 연락처를 지워도 기록은 만료 표로 옮겨질 뿐, 신뢰도와 출처가 그대로 남아 있었습니다.
HN 반응
- 일부 이용자는 대화와 관계를 빠짐없이 기록하는 기능이 사람 사이의 자연스러운 망각을 없애 관계를 부담스럽게 만든다고 우려했습니다.
- 컴퓨터가 사용자가 아니라 운영체제 회사를 위해 일한다는 불만이 이어졌고, 리눅스나 BSD로 옮겼다는 이용자도 있었습니다.
한때는 저도 이런 데이터가 흥미롭게 느껴졌을 겁니다(옵트인이라면 말이죠)! 지금은 그저 피곤합니다.
얼마 전 Siri Recap1을 두고도 비슷한 토론이 있었습니다. 얼마나 유용한지 이야기하는 사람들이 있었고, 요약 대상인 대화의 당사자이니 도덕적·윤리적으로 걸릴 게 거의 없다는 의견도 있었습니다. 하지만 저는 사회적인 걱정이 있습니다.
누군가와 대화할 때는 모든 것이 한 글자도 틀리지 않게 기억되지는 않는다는 전제 위에 만들어진 분위기가 있습니다. 듣는 일이 밋밋하고 집요한 받아쓰기로 바뀌면, 온갖 사회적·맥락적 신호가 쉽게 사라질 수 있습니다.
Recap과 이 소셜 그래프(제품화된다면 말이죠)가 있으면, 우리가 서로를 대하는 비공식적이고 유연한 방식이 사라지기 시작하고, 거기서 비롯되는 기대는 인위적이고 부담스러운 것이 됩니다. 자동 고침 때문에 오타가 용납되지 않게 된 것처럼, 동료의 새 조카 이름이나 이웃이 작년 휴가 때 즉흥적으로 보트를 타고 갔던 이탈리아 마을 이름을 까먹으면 어떻게 용서받을 수 있겠습니까?
저도 "누군가 당신 몰래 컴퓨터에 X를 시키고 있다"는 폭로가 계속 나오는 데 완전히 지쳐 버렸어요. 앱 개발사든 OS 제조사든 상관없어요. PC가 사용자의 컴퓨터, 사용자를 위해 동작하는 물건이길 그만두고 OS 제조사와 앱 개발사를 위해 동작하기 시작한 게 대체 언제죠? 매일 새로운 사례가 나와요.
제 생각에는 대체로 휴대폰이 단순한 통신 기기에서 스마트폰으로 넘어가면서도 '가전제품' 같은 성격은 그대로 유지했을 때부터입니다.
그 결과 한 세대 전체가 제조사가 통제하는 손안의 가전제품을 개인 컴퓨팅이라고 여기며 자랐고, 진짜 PC도 당연히 같은 식으로 대하게 됐습니다.
게다가 PC를 다루는 능력도 퇴화해서 악순환이 이어졌습니다.
저는 소프트웨어 업체와 이런 지속적인 관계를 맺고 싶지 않아요. 애플 컴퓨터를 사도 애플과 관계를 맺고 싶지 않아요. iCloud에 로그인하고 싶지 않고요. 제가 돌릴 수 있는 소프트웨어와 없는 소프트웨어를 그쪽이 정하는 것도 싫고요. 그쪽에서 "공증"하지 않은 걸 내려받아 실행했다고 못마땅하다는 듯 손가락을 흔드는 것도 싫어요. 제 컴퓨터를 쓰는 데 그쪽이 끼어드는 게 싫다고요! 윈도 PC를 사면 더 심해요. 여기서도 마이크로소프트 계정에 로그인하고 싶지 않아요. OS 안 광고로 다른 소프트웨어를 들이미는 것도 싫고요. 텔레메트리를 보내는 것도 싫어요. 막연한 "기능"을 내세워 제 화면을 녹화해서 어디에 저장하는지도 모르게 하는 것도 싫고요.
테이블 쏘를 샀다고 디월트가 제 작업장에 상주하면서 뭘 자르고 뭘 자르면 안 되는지 알려 주고, 제가 어떤 나무를 언제 쓰는지, 완성품이 어떻게 생겼는지 지켜보며 기록하고, 한밤중에 톱의 기능과 버튼을 바꿀 거라곤 기대하지 않아요. 소프트웨어에는 대체 왜 이런 걸 참고 있는 거냐고요??
이젠 리눅스만이 유일하게 말이 되는 선택지인데, 그것도 모든 배포판이 그런 건 아니에요! 일부는 텔레메트리와 지표 수집, A/B 테스트가 슬금슬금 들어오고 있어요. 서드파티 리눅스 소프트웨어 중에는 상용 윈도/맥 소프트웨어만큼이나 간섭하고 요구가 많은 것도 있고요.
정확히 그겁니다.
드라이버를 사면 필요할 때 쓰고 싶을 뿐입니다. 크래프츠맨에 계정을 만들고 개인 식별 정보 같은 걸 넘기고 싶지 않습니다. 그냥 제가 산 물건을 쓰고 싶을 뿐입니다.
어떤 기술 제품이든 똑같습니다. 샀으니까 쓰고 싶습니다. 제조사와는 접촉이 전혀 없었으면 합니다(그 회사가 마음에 들더라도요).
그럼 십자 드라이버를 JIS 나사에 꽂았을 때 폰으로 알림은 어떻게 보내죠? 당신이야 차이를 알겠지만(크래프츠맨 드라이버 엔지니어들은 고개를 젓겠네요) 집에서 수리하는 평범한 사람이 아는 건 아니잖아요! /s
저는 리눅스를 30년 넘게 좋아했지만, 그 리눅스조차 점점 아쉬워지고 있습니다. 요즘은 주로 FreeBSD나 OpenBSD를 설치합니다.
우리 모임이 마음에 드실 것 같네요: https://trustworthy.technology/
페이지 맨 아래에 채팅방 초대 링크도 있어요.
좋은 자료네요!
근데 "빛의 군대(Army of light)"라니요.
바빌론 5 오마주인데, 너무 노골적인가요?
옆 댓글이 맞는 말을 하긴 했지만, 이 부분은 틀렸습니다:
그 능력은 애초에 길러진 적이 없습니다. 우리 중 많은 사람이 컴퓨터 혁명에 환호하며, 그 뒤에 태어난 사람은 모두 윗세대가 이해하지 못한 것들을 이해하게 될 거라 생각했지만, 대부분은 신경 쓰지 않았고 배우지도 않았습니다.
젊은 세대가 쓰는 말에도 그게 드러나요. 뭔가를 해도 "허용"되는지 묻거나, 기본적으로 불법이라고 가정하죠.
세상은 달라진 게 없다고 생각합니다. 저처럼 당신도, 그리고 다른 많은 해커도 어릴 때 친구 무리가 꽤 달랐을 테고, 자기 커뮤니티가 얼마나 폐쇄적이었는지 몰랐을 겁니다. 이제 어른이 되어 그 좁은 친구 무리 바깥의 아이들을 보게 되면서, 변화의 원인을 더 넓어진 자기 시야가 아니라 아이들에게서 찾고 있는 겁니다.
Debian 같은 일부 리눅스 배포판에서는 명시적으로 허용하기 전까지 모든 게 불법/금지 상태이고, OS가 돌아가는 데 꼭 필요한 최소한의 소프트웨어만 들어 있습니다. 모든 게 미리 설치돼 있고 아주 관대한 Ubuntu 같은 다른 배포판과 대조되죠. 겨냥하는 사용자층이 분명히 다릅니다. 스마트폰도 다른 사용자층을 겨냥합니다. 기기가 하는 멍청한 짓에 짜증이 나는 파워 유저는 그냥 타깃 고객이 아니라는 뜻이고, 그쪽 수익에는 덤으로 사 주는 구매자일 뿐입니다.
터무니없는 소리예요. 설치하자마자 비밀번호 없는 루트가 주어지는데요.
사소한 지적이지만, 유저스페이스에서는 확실히 그렇지 않습니다.
npm install한 번이면 키로거를 설치하거나 ssh 키를 읽는 등 뭐든 마음대로 할 수 있으니까요. 그래픽 카드 드라이버 업데이트만 빼고요.헤드리스 Debian을 일부러 선택해 쓰는 사람이라면
npm install을 아무 데서나 함부로 돌리지 않을 만큼은 현명하길 바랍니다. 제 경험으로는 Debian 환경에서npm install이 필요했던 적이 한 번도 없습니다. 서버 환경에서만 써 봤고, 생각해 보면 그건 전부 npm이 나오기 전, 자바스크립트가 제자리인 브라우저 안에 있고 제 서버에는 없던 시절 이야기입니다. 누군가 서버에서 JS를 허용하는 바람에 우리 모두 망했지만, 그건 완전히 다른 이야기죠.신뢰하는 앱을 신뢰할 수 없는 데이터에 대해 본인 사용자 권한으로 돌리는 것만으로 충분합니다. 앱에 메모리 취약점만 있으면 되는데, 대부분이 C로 되어 있으니 드문 일도 아닙니다.
그러니 잘 풀릴 거라고 너무 자신하지 마세요. 안타깝게도 GNU/리눅스 데스크톱은 보안이 심각하게 부족합니다(여기서 데스크톱에는 헤드리스 개인 사용도 포함합니다).
저는 제가 일부러 고른 헤드리스 Debian에서, 스크립트로
npm install을 사람 손 없이 돌리곤 했어요. 매일 수십 번씩이요. 나중에 CI를 Alpine으로 옮겼고요.권위주의적 파놉티콘에 살고 있는 데서 오는 부작용이죠.
"당신은 고객이 아니라 상품이다"라는 말은 늘 RMS에게서 나온 줄 알았어요. 댓글을 달기 전에 찾아봤더니 1973년에 리처드 세라와 카를로타 페이 스쿨먼이 한 말이더라고요! 지금도 그때만큼 딱 들어맞아요. https://quoteinvestigator.com/2017/07/16/product/
맞아요. 그리고 OS 제조사가 당신 데이터를 캐내지 않는다면 산더미 같은 돈을 테이블 위에 그냥 버려두는 셈입니다. 그러니 캐야만 하고, 실제로 캘 겁니다. 금전적 유인이 압도적이니까요.
입법, 사회, 정부, 민간 등 모든 층위에서 그 유인을 없애야 합니다.
그 산더미 같은 돈을 누가 내고 있죠? 우리는 제조사를 욕하다가 거기서 멈춰 버려요. 수확되는 데이터를 통해 당신 TV 값을 실제로 대신 내주는 게 누구냐고요?
OS 제조사들이 세 글자짜리 정보기관에서 받은 비밀 서한을 한두 통쯤 쥐고 있지 않고, 사실상 사용자를 넘기라는 요구에 굴복할 수밖에 없는 처지도 아니라면, 제 모자를 먹겠어요!
인터넷에 연결했을 때죠.
인터넷에는 이 일이 벌어지기 최소 10년도 더 전부터 연결해 왔잖아요.
저는 Chrome과 Gmail에서 시작됐다고 봅니다.
Chrome은 2008년에 사용자의 명시적 동의 없이 백그라운드에서 소프트웨어 업데이트를 자동 설치하는 기능을 넣은 최초의 주요 소프트웨어였습니다. 지금은 어디에나 있죠. 소프트웨어 자유의 역사에서 과소평가된 사건이라고 생각합니다.
그리고 Chrome과 Gmail은 이전에 우리가 쓰던 것보다 정말로 나았습니다. 하지만 돈도 내지 않고 소유하지도 않은 SaaS와 끊임없이 스스로 업데이트되는 소프트웨어를 우리가 받아들이게 만든 트로이 목마의 유력한 후보이기도 합니다.