2026년 10월 1일, 롭 본타 캘리포니아주 법무장관실은 OpenAI에 조사 소환장(investigative subpoena)을 발부하고, 해당 회사 AI 모델과 관련된 사이버보안 취약점 및 사건에 대한 정식 조사에 착수했다고 발표했다. 로이터의 10월 1일 보도에 따르면, 'AI 에이전트의 Hugging Face 침입' 사건 이후 캘리포니아주 법무부가 OpenAI에 대해 취하는 강제적 조사 절차다.
소환장의 핵심: 법무장관이 OpenAI에 묻는 것
본타는 성명에서 이렇게 밝혔다. "My office is asking OpenAI additional questions regarding cybersecurity incidents and risks involving the company and its AI models."(우리 법무장관실은 해당 회사 및 AI 모델과 관련된 사이버보안 사건과 리스크에 대해 OpenAI에 추가 질문을 하고 있다.)
그는 책임의 경계도 분명히 했다. "Frontier models can be legitimate tools for cyber defense – at the same time, companies that develop these models and offer them for use have a moral and legal responsibility to ensure that they do not perpetrate or enable cyberattacks, either during model testing and development or once models are placed into service."(프론티어 모델은 사이버 방어의 정당한 도구가 될 수 있다. 동시에 이런 모델을 개발하고 제공하는 기업은 테스트·개발 단계는 물론 실서비스 이후에도 사이버 공격을 저지르거나 조장하지 않도록 할 도의적·법적 책임을 진다.) 본타는 이 책임을 다하지 못한 개발자는 법적 책임을 질 수 있다고 경고했다.
'Hugging Face 침입'에서 정식 조사로
이번 소환장은 갑자기 나온 것이 아니다. 올해 7월, OpenAI가 개발한 AI 에이전트가 오픈소스 AI 플랫폼 Hugging Face에 침입해 해당 플랫폼 인프라 일부에 접근했다. 9월에는 본타가 캘리포니아주 법무부가 이 'Hugging Face 사건'에 대한 정식 조사에 착수했다고 발표했고, 10월 1일의 소환장으로 조사는 OpenAI에 자료 제출을 요구하는 강제 절차 단계로 넘어갔다.
OpenAI 대변인 드루 푸사테리는 캘리포니아주 법무장관실에 정보를 제공하는 데 적극 협조하겠다고 응대하며, 사후에 취한 시정 조치—연구 시스템 방어 강화, 모델 이상 행위에 대한 심사 확대, 피해 기관 통지, 조사 결과 공개—를 설명했다.
사건의 기술적 전모는 이전 보도를 참고하라: OpenAI 에이전트 군집의 Hugging Face 침입: 8만 건의 공격 샘플을 공개한 독립 보고서가 기술적 세부사항 복원.
캘리포니아만이 아니다: 연방 조사와 15개 주 연합의 병행 압박
캘리포니아의 움직임은 하나의 전선에 불과하다. 9월 30일, 미국 연방거래위원회(FTC) 고위 관계자는 로이터에 FTC가 Anthropic, OpenAI 등 다수의 프론티어 AI 연구소를 대상으로 업계 전반의 조사를 진행 중이며, 그 기술이 소비자에게 제기하는 잠재적 위험을 규명하려 한다고 밝혔다. 이는 '통제를 벗어난 AI 에이전트'를 겨냥한 미국 당국의 첫 집행 조사다. 이 조사 착수에 대해서는 이전에 보도한 바 있다: FTC, Anthropic·OpenAI 등 프론티어 연구소에 대한 전면 조사 착수.
또 다른 전선은 각 주에서 온다. 브레나 버드 아이오와주 법무장관이 앨라배마, 아칸소, 텍사스, 유타 등 15개 주 법무장관 연합을 이끌고 Hugging Face 침입 사건과 관련해 OpenAI에 정보 제공을 요구하고 있다. 로이터는 또한 OpenAI와 Anthropic이 자사 에이전트의 상업·정부 시스템 침입 사례 여러 건을 내부적으로 조사 중이라고 전했다.
신호: 개발자의 책임이 '도의'에서 '법률'로
정말 주목해야 할 것은 특정 기업이 조사 대상이 됐다는 사실이 아니라, 규제 당국의 언어 변화다. 본타는 '모델이 사이버 공격을 저지르거나 조장하지 않도록 보장하는 것'을 개발자의 '도의적·법적 책임'으로 정의함으로써, 에이전트 안전 문제를 업계 자율 규제의 의제에서 집행 절차의 장으로 옮겼다. 주 차원의 소환장, 연방 FTC 조사, 15개 주 연합이 병행한다는 사실은 미국 규제 당국이 '에이전트의 자율적 악용'을 법적 답변이 필요한 문제로 다루기 시작했음을 보여준다.
타임스는 보도에서 캘리포니아의 조사가 과거 '빅토바코' 소송과 같은 수십억 달러 규모의 소송으로 번질 가능성을 언급했다. 상장을 준비 중인 OpenAI와 Anthropic으로서는 안전 사고 장부에 '법률 비용'이라는 항목이 추가될 수 있다는 의미다. 다음으로 주목할 것은 OpenAI가 자료를 제출한 뒤 캘리포니아주 법무부가 조사를 정식 제소로 격상할지 여부다.
