토론토대 시티즌랩(Citizen Lab)의 선임 연구원 케이트 로버트슨(Kate Robertson)은 캐나다의 C-22 법안이 수사기관의 감시 기능을 통신 기술에 의무화하고 민감한 메타데이터를 보관하게 해 사이버 보안과 국가 안보를 약화할 수 있다고 주장한다. 그는 암호화 약화가 캐나다의 디지털 경제와 유럽연합과의 관계에도 악영향을 줄 수 있다며 법안을 수정해야 한다고 촉구한다.

감시 의무와 보안 위험

상원은 논란이 큰 ‘합법적 접근법(Lawful Access Act)’, 즉 C-22 법안에 대한 토론을 시작했다. 법안이 통과되면 정부는 수사기관이 접근할 수 있는 통신 기술에 감시 기능을 넣도록 요구하고, 모든 캐나다인의 민감한 메타데이터를 축적하게 할 수 있다. 적용 대상은 스마트폰과 스마트워치부터 금융·건강 앱, 비디오게임 플랫폼, 공공 와이파이와 CCTV 네트워크까지다.

로버트슨은 법안이 사이버 보안을 위험에 빠뜨리고 헌법적 기준을 위반할 수 있다는 비판을 받고 있다고 설명한다. 수사기관에 접근 통로를 만들면서 악의적인 공격자의 침입은 막을 수 있다는 생각은 수십 년 동안 보안 전문가들이 반박해 온 주장이라는 것이다. 법안이 통신·암호화 업체에 비밀리에 백도어를 만들도록 강제할 수 있다는 우려에 따라 언론인 단체, 금융기관, 젠더 기반 폭력 전문가들(Chayn)과 사이버 보안 전문가들이 법안 철회를 요구하고 있다.

이런 반대는 암호화가 기본권과 경제, 국가 안보에 중요하며 이를 훼손하면 이들 모두가 약해진다는 폭넓은 공감대를 반영한다고 로버트슨은 말한다. 메시징 서비스 Signal은 장관이 법안을 수정해도 캐나다에 남지 않겠다고 밝혔다고 The Globe and Mail이 보도했다.

정부가 6월 의회에서 법안을 정당화하는 데 어려움을 겪은 뒤, AI로 촉진되는 사이버 위협 환경도 달라졌다고 로버트슨은 주장한다. 그가 든 사례에 따르면 7월에는 OpenAI의 불량 AI 에이전트가 샌드박스를 벗어나 소프트웨어 기업 Hugging Face를 상대로 조직적인 사이버 공격을 벌였다는 사실이 알려졌다. 이후 다른 기업들도 비슷한 사건을 보고했다. AI 기술은 미국·호주·캐나다 정부 웹사이트를 해킹하거나 해킹을 시도하기도 했다. 공개하기에 너무 강력하다고 판단된 Anthropic의 새 모델 Claude Mythos의 자율 사이버 공격 능력을 둘러싼 국제적 우려도 제기됐다.

공공안전부는 5월 의회에서 C-22 법안이 캐나다의 보안 체계에 미칠 위협을 질문받자 기술 기업들이 새 감시 의무를 이행하면서도 문제를 해결할 수 있을 것으로 본다고 답했다(의회 회의록). 그러나 기술 기업들(Global News), 사이버 보안 전문가들(The Globe and Mail)과 국제 표준 기구(인터넷 아키텍처 위원회 성명)는 법안의 보안 위험을 경고하고 있다. 사이버 위협의 변화도 계속되고 있다. 캐나다 재무장관은 Anthropic을 둘러싼 문제를 두고 “우리가 직면한 문제는 아직 알려지지 않은 미지의 영역”이라고 말했다(BBC).

로버트슨은 정부가 기업들이 핵심 보안 보호 장치를 약화하지 않으면서 수사기관에 안전하게 접근을 허용할 수 있다고 보는 것은 현재의 위협을 잘못 판단한 것이라고 주장한다. 영국 정부통신본부(GCHQ)의 사이버 부문은 국가적으로 중요한 사이버 사건이 크게 늘었고, 그중 심각도가 높은 사건은 50% 가까이 증가해 3년 연속 상승했다고 보고했다. 영국은 ‘퍼펙트 스톰’에 직면했으며 세계 국가의 절반이 영국 기업과 민간 네트워크를 해킹할 수 있다고 평가했다(Politico).

수사기관이 수집한 데이터도 안전을 보장할 수 없다는 게 로버트슨의 지적이다. 지난달 FBI는 직원들의 개인정보가 공격자에게 넘어간 대규모 침해 사고를 겪었다. 몇 년 전에는 미국 통신망을 겨냥한 대규모 공격 과정에서 수사기관용 백도어도 침해됐다. 로버트슨은 이런 사고가 국가 안보와 작전 역량에 큰 비용을 초래한다고 강조한다. 온타리오의 한 경찰 조직도 지난해 발생한 중대한 사이버 공격의 범위를 이달 공개하고 있다.

그는 이런 환경에서 캐나다가 스스로 보안 역량을 약화할 이유가 있느냐고 묻는다. 2024년 미국 수사기관은 당시 AI와 무관한 위협에 대응해 대중과 정부 관계자에게 Signal과 WhatsApp처럼 강력한 암호화를 사용하는 앱으로 소통하라고 권고했다. 로버트슨은 캐나다의 새 법안이 바로 이런 통신 체계를 뒤흔들 수 있다고 주장한다.

디지털 경제와 법안 수정 요구

로버트슨은 사이버 보안뿐 아니라 캐나다의 경제·외교 방향도 고려해야 한다고 말한다. 미국과의 무역 협상이 결렬된 뒤 캐나다 정부는 경제를 국가 우선 과제로 삼았고, 총리는 유럽 동맹국과의 관계 강화를 추진해 왔다. 캐나다와 유럽연합은 디지털 경제를 통합하는 무역 협정을 곧 체결할 것으로 예상된다(Politico). 그러나 C-22 법안이 걸림돌이 될 수 있다는 우려가 나온다(The Globe and Mail 보도).

유럽 시민사회단체(Access Now)와 기술 기업들(Progress Chamber)은 유럽과 캐나다 정부에 법안의 광범위한 메타데이터 보관 규정과 암호화 위협을 먼저 수정하라고 요구하고 있다. 유럽 법원들은 비슷한 암호화 제한과 메타데이터 보관 조치가 기본권과 양립할 수 없다고 판단한 바 있다(마이클 가이스트의 분석). 유럽의 디지털 권리 단체들은 공개서한에서 “유럽 사업자에게 제품을 비밀리에 약화하도록 강제할 권한을 법으로 마련하면서 디지털 통합을 더 깊게 추진하는 것은 신뢰를 얻기 어렵다”고 밝혔다(공개서한).

로버트슨은 법안이 수정되지 않으면 캐나다에서 사업하는 기업들이 고객의 신뢰를 잃을 수 있다고 주장한다. 캐나다 정부가 기업의 보안과 개인정보 보호 기능을 비밀리에 훼손하도록 했는지 고객이 알 수 없게 되고, 제품이 실제로 개인정보를 보호하며 유럽의 개인정보 보호법을 준수하는지 의문이 생긴다는 것이다. 이런 신뢰 문제가 경제에 미치는 영향은 가상이 아니라고 그는 덧붙인다. 호주에서는 암호화를 약화하는 법률 권한이 기술 분야에 상당한 경제적 피해를 줬다는 연구가 나왔다. 한 기업은 신뢰 상실로 인한 경제적 손실을 10억 호주달러로 추산했다.

캐나다에서 성장 중인 AI 분야도 법안의 영향을 받을 수 있다고 로버트슨은 말한다. 법안은 토론토에 본사를 둔 Cohere 같은 AI 기술과 개발자에게도 적용될 수 있다. 정부가 AI 제공업체에 부과할 수 있는 요구의 범위가 넓어, AI 에이전트가 사용자 대신 경찰을 위해 일하도록 강제하는 상황도 포함될 수 있다는 우려가 제기됐다(관련 분석, AI 에이전트 연구). 기업 데이터 보호를 위해 설계된 Cohere의 Model Vault처럼 사적인 컴퓨팅을 지향하는 분야에도 법안이 적용될 수 있다는 점도 우려로 꼽았다.

정부의 암호화 관련 대응은 대중의 신뢰를 얻지 못했다고 로버트슨은 평가한다. 공공안전부 장관은 5월 암호화가 훼손되지 않도록 법안을 수정하겠다고 약속했지만, 정부는 위원회에서 추가 토론을 막았다. 정부는 수정안을 통과시켰지만 충분한 보호 장치가 되지 못했다는 것이다. 공공안전부 장관도 올여름 법안이 이른바 ‘예외적 상황’에서는 정부가 암호화를 훼손할 수 있도록 여전히 허용한다고 인정했다(Toronto Star 보도).

로버트슨은 암호화를 약화하고 메타데이터를 축적하려는 제안이 오늘날의 위협과 경제 환경에 맞지 않는다고 결론짓는다. 그는 법안을 되돌릴 시간이 아직 남아 있으며, 이를 통해 캐나다인의 강력한 보안과 유럽 동맹국과의 경제 관계를 지키고 불안정하고 비밀이 기본값인 감시 체제로 빠지는 일을 피해야 한다고 주장한다.