레고 주문 한 건이 드러낸 것
일론 머스크가 자사 AI ‘그록 봇’의 쇼핑 기능을 홍보하려다, 정작 자신의 주소와 카드 정보 일부를 2억4000만 팔로워에게 그대로 노출했다.
머스크는 지난 주말 엑스(X)에 물건을 사려면 신용카드 사진을 찍어 채팅창에 넣기만 하면 그록 봇이 최적가를 찾아 주문한다고 홍보했다. 그러면서 아마존이 이 봇을 차단하고 있다는 지적에 그록이 다른 방법을 찾을 것이라며, 방금 레고를 주문했는데 그록이 레고 웹사이트에서 사왔다고 덧붙였다. 기능 자체를 직접 시연한 셈이다.
문제는 그가 함께 올린 스크린샷이었다. 주문 내역 화면에는 텍사스 주소 두 곳과 주문 번호, 카드 정보 일부가 그대로 담겼다. 주문 품목은 스타워즈 테마 레고 5세트, 금액은 약 241달러였다. 이를 본 이용자들은 곧바로 개인정보 노출을 지적했고, 엑스는 해당 게시물에 커뮤니티 노트를 붙였다.
커뮤니티 노트는 xAI가 이용자에게 프롬프트에 개인정보를 넣지 말라고 명시적으로 경고하면서도, 신용카드 사진에는 그런 정보가 담길 수 있다고 짚었다. 그록 봇 약관이 이용자 데이터와 자격 증명을 클라우드에 저장할 수 있다고 규정한다는 점도 함께 언급됐다. 결제에는 사람의 검토가 필요하다는 조항도 지적됐다.
이용자들의 반응은 조롱과 우려가 뒤섞였다. 은행 사기 대응팀이 큰일 났다는 농담부터, 가상카드처럼 한도가 정해진 카드만 쓰라는 조언까지 이어졌다. 일부 이용자는 봇이 자체적으로 일회용 카드 번호를 생성할 수 있어야 안전하다고 지적하기도 했다.
머스크는 논란이 커지자 해당 주소가 자신의 실제 거주지가 아니라 보안팀이 우편을 받는 곳이며, 이미 여러 차례 공개된 정보라고 해명했다. 주문은 취소되지 않았다고도 밝혔다. 정작 본인이 개인정보 노출을 감수하면서 기능을 홍보한 셈이라, 홍보 효과와 역풍이 동시에 커졌다.
이번 사건은 10월 11일 보도된 그록 봇의 신용카드 사진 결제 기능 논란에 이은 후속이다. 당시에도 보안 우려가 제기됐지만, 정작 기능을 홍보한 사람이 개인정보를 노출하는 결과로 이어졌다. 별개로 개발자들은 xAI의 코딩 도구 그록 빌드가 개발자의 코드베이스 전체를 xAI 클라우드로 업로드했다는 분석을 내놓기도 했다. AI 에이전트의 데이터 처리 신뢰성이 연이어 도마에 오르는 형국이다.
그록 봇의 쇼핑 기능은 이용자가 원하는 상품을 자연어로 설명하면 AI가 여러 쇼핑몰을 검색해 최저가를 찾아 결제까지 대신하는 방식이다. 아마존 등 일부 플랫폼은 자동화된 구매를 차단하고 있어, 기능의 실제 범용성도 검증이 필요한 상황이다. 결제 정보를 AI 서비스에 맡기는 관행이 자리 잡을수록, 개인정보 처리와 사고 책임을 둘러싼 규범 공백이 드러날 가능성이 크다.
AI 에이전트가 결제와 개인정보를 직접 다루는 시대에, 신뢰가 어디까지 검증돼야 하는지가 이번 사안의 핵심 쟁점입니다. 그록 봇의 결제 기능이 정식 출시 단계로 넘어가면 보안 감사와 약관 개정 요구가 함께 커질 전망입니다. 이번 해프닝은 편의 기능으로 포장된 AI 결제가 개인정보 보호와 충돌할 때 어떤 위험이 현실화되는지를 압축적으로 보여준 신호로 읽힙니다. 결국 에이전트 상거래가 퍼지는 속도만큼 보안 규범이 따라가지 못한다는 점을 드러낸 사례라고 하겠습니다.