Surveillance / Countermeasures
상시 녹음 웨어러블과 초음파 대항 기술 사이의 비대칭은 예산 차이가 아니라 구조에서 나온다
주머니에 들어가는 초음파 발생기 하나로 주변의 모든 마이크를 무력화한다는 발상은 물리적으로 성립한다. 실제로 작동하는 장치가 학계에서 여러 차례 만들어졌고, 논문마다 인식 실패율 90퍼센트대의 수치가 붙어 있다. 문제는 그 수치가 무엇을 재는 값인지, 그리고 그 값이 시간이 지나도 유지되는 종류의 값인지에 있다.
초음파 재밍은 마이크가 완벽한 부품이 아니라는 사실을 이용한다. 콘덴서 마이크와 그 뒤에 붙은 전치증폭기는 입력 신호에 대해 완전히 선형으로 반응하지 않는다. 사람 귀에 들리지 않는 20킬로헤르츠 이상의 초음파를 충분한 세기로 쏘면, 이 비선형성 때문에 신호 일부가 가청 대역으로 내려앉는다. 마이크는 아무도 내지 않은 잡음을 스스로 만들어 기록하게 된다. 같은 원리를 뒤집으면 사람에게는 들리지 않는 음성 명령을 스마트 스피커에 주입할 수도 있고, 2017년 이후 이 주입 경로는 음성 인터페이스 보안 연구의 표준 위협 모델이 됐다.
이 결함을 방어 쪽으로 돌려세운 대표적 결과가 시카고대학교 연구진이 2020년 발표한 팔찌형 재머다. 초음파 트랜스듀서 24개를 고리 모양으로 배열해 특정 방향이 아니라 전방위로 신호를 뿌리고, 손목이 움직이는 것을 오히려 이용해 트랜스듀서끼리 상쇄되는 사각지대를 흐린다. 무게는 배터리를 포함해 135그램이었다. 상용 음성 인식기를 상대로 측정한 단어 오류율은 평균 96.6퍼센트, 천이나 종이로 덮어 숨긴 마이크에도 효과가 있었다. 고정형 재머가 각도 2도만 틀어져도 재밍 출력이 5~10데시벨 떨어지는 것과 달리, 착용형은 각도에 따른 급락이 없었다.
여기서 주목할 것은 성능이 아니라 의존 구조다. 이 방어는 대화를 암호화하지도, 소리를 차단하지도 않는다. 상대 마이크가 특정한 방식으로 고장 나 주기를 기대한다. 방어의 유효성이 공격자 장비의 부품 특성에 걸려 있다는 뜻이고, 그 부품이 바뀌면 방어도 함께 사라진다.
초음파 재머의 실용성을 오래 가로막은 것은 알고리듬이 아니라 거리였다. 기존 장치의 유효 범위는 대체로 2미터 안팎이었다. 원인은 재머 자신에게 있다. 초음파를 세게 밀어내려고 출력을 올리면 전력 증폭기와 스피커의 비선형 왜곡 때문에 재머 쪽에서도 귀에 들리는 소리가 새어 나온다. 조용해야 할 장치가 웅웅거리기 시작하는 순간 출력을 더 올릴 수 없다. 이것이 물리적 상한이었다.
2025년 11월 홍콩에서 열린 모바일 컴퓨팅 학회 MobiCom에서 발표된 Hedgehog는 이 상한을 전송 체인 자체를 모델링해 넘었다. 증폭기와 스피커가 만들어 내는 왜곡을 미리 계산해 반대 방향으로 신호를 비틀어 넣는 디지털 사전 왜곡 기법을 쓰고, 재밍 신호의 설계 목표도 바꿨다. 단순히 신호 대 잡음비를 떨어뜨리는 데 그치지 않고 사람 음성이 담고 있는 의미 정보 자체를 억누르도록 파형을 다시 짰다. 결과는 8미터에서 단어 오류율 95퍼센트 이상, 10미터에서 80퍼센트 이상이었다. 기존 방식 대비 유효 거리 4배다.
다만 8미터라는 숫자를 방어의 완성으로 읽으면 곤란하다. 재밍 범위가 넓어졌다는 것은 그 범위 안의 모든 마이크가 동시에 망가진다는 뜻이기도 하다. 회의실에서 재머를 켜면 상대편 녹취록만 사라지는 것이 아니라 이쪽 회의록 앱, 통역 장치, 청각 보조기기, 화재경보 연동 장치가 함께 먹통이 된다. 선택적으로 특정 기기만 살려 두려면 인가된 장치에 잡음 원본을 별도 채널로 보내 상쇄하게 만드는 설계가 필요한데, 이는 재머와 인가 기기 사이에 사전 신뢰 관계를 요구한다. 낯선 자리에서 즉석으로 켜는 휴대용 장치와는 전제가 다르다.
재머 논문에 붙는 수치는 거의 예외 없이 단어 오류율이다. 그런데 이 값은 절대적인 소거량이 아니라 측정 시점에 연구진이 골라 쓴 특정 음성 인식기가 그 녹음을 얼마나 못 알아들었는가를 잰다. 인식기가 바뀌면 값도 바뀐다.
이 함정을 정면으로 다룬 것이 저장대학교 연구진이 2022년 INFOCOM에서 발표하고 2024년 IEEE Transactions on Mobile Computing에 확장해 실은 평가 프레임워크다. 이들의 지적은 두 가지다. 첫째, 기존 연구는 공격자가 낮은 인식률 앞에서 아무것도 얻지 못한다고 가정했다. 실제로는 단어 단위 인식이 실패해도 화자 신원, 감정, 대화 주제, 특정 키워드의 등장 여부처럼 회수 가치가 있는 정보가 남는다. 둘째, 기존 연구는 공격자의 잡음 제거 능력을 과소평가했다. 이 두 가정을 걷어내고 12개 지표로 다시 재자, 기존 초음파 재머들의 복원 저항성은 보고된 것보다 낮았다.
암호 알고리듬의 안전성은 계산량이라는 고정된 물리량에 근거를 두므로, 키 길이가 같으면 10년 뒤에도 대체로 같은 강도를 유지한다. 재머의 성능은 그렇지 않다. 96퍼센트라는 값은 그 시점 최고 성능 인식기와의 대전 성적이고, 상대는 매년 강해진다. 출하된 하드웨어의 재밍 신호는 고정돼 있는데 그 신호를 뚫는 모델은 갱신된다. 소비자가 오늘 구입한 장치의 성능 표기는 구입한 날이 정점이다.
재밍의 발전 방향은 결국 잡음을 키우는 쪽이 아니라 그럴듯한 가짜를 섞는 쪽으로 갔다. 이 발상 자체는 프라이버시 연구에서 하나의 계보를 이룬다. 핀 브런턴과 헬렌 니슨바움이 2015년 MIT 출판부에서 낸 Obfuscation은 이 전략을 명시적으로 정리했다. 수집을 막을 수 없다면, 수집기가 원하는 데이터가 무엇인지 파악한 뒤 그와 구별되지 않는 쓰레기를 대량으로 공급해 비용 구조를 무너뜨린다는 것이다. 2차 세계대전기 영국 공군이 독일 레이더 파장에 맞춰 뿌린 금속 조각, 니슨바움이 공동 개발한 브라우저 확장 TrackMeNot이 실제 검색어를 무작위 미끼 검색 사이에 파묻은 방식이 같은 계열이다.
음성 쪽에서 이 전략을 구현한 것이 2023년 마드리드 MobiCom에서 발표된 MicFrozen이다. 착용자의 발화를 기준 마이크로 실시간 포착해 그에 맞춘 초음파 역위상 신호를 생성하고, 여기에 원래 음성과 통계적으로 얽힌 잡음을 덧씌운다. 독립적인 잡음은 최신 잡음 제거기가 걷어내지만, 음성 신호와 결합된 잡음은 음성까지 함께 훼손하지 않고는 떼어내기 어렵다는 계산이다. 공격자 마이크에서 신호 대 잡음비 −13.6데시벨, 최신 잡음 제거 기법을 동원해도 최대 96.9퍼센트가 인식되지 않았다고 보고됐다.
그런데 이 계보에는 반복되는 결말이 있다. TrackMeNot이 나온 지 4년 만인 2010년, 프라이버시 강화 기술 학회 PETS에서 사이 테자 페딘티와 니테시 삭세나는 검색 엔진이 사용자의 단기 검색 이력만 확보하면 기성 기계학습 분류기만으로 미끼 질의와 실제 질의를 갈라낼 수 있음을 보였다. 오염 전략의 수명은 가짜와 진짜를 가르는 분류기의 성능에 반비례한다. 분류기가 좋아지면 오염은 그 자체로 하나의 특징이 되어 오히려 표지가 된다.
음성 복원 쪽 분류기가 어디까지 왔는지는 보청기 연구의 역사가 보여 준다. 오하이오주립대학교의 덜리앙 왕은 시끄러운 환경에서 목표 음성만 골라내는 문제를, 시간과 주파수로 쪼갠 격자의 각 칸이 음성인지 잡음인지 판정하는 이진 분류 문제로 재정의했다. 이 이상적 이진 마스크 개념 위에서 지도학습 기반 음성 분리가 자리 잡았고, 이후 20년 동안 보청기·통화·회의 도구를 위한 잡음 제거 연구가 그 위에 쌓였다. 모델은 학습 과정에서 사람 목소리가 어떤 모양인지를 내부에 갖게 되고, 그 모양과 맞아떨어지는 부분만 살리고 나머지를 눌러 버린다. 최근 기술은 여기서 한 걸음 더 나가 아예 녹음되지 않은 음절을 문맥으로 추정해 채워 넣는다. 재머가 없앤 것이 문자 그대로 복원되지 않아도, 문장 단위의 의미는 살아남을 수 있다.
2026년 3월 3일 샌프란시스코의 스타트업 Deveillance가 원반 모양 장치 Spectre I을 공개했다. 창업자 아이다 바라다리가 X에 올린 소개 영상은 하루 남짓 만에 조회수 360만을 넘겼다. 회사가 내세운 기능은 두 가지다. 주변 마이크를 탐지해 목록으로 기록하고, 반경 2미터 안의 모든 마이크가 알아들을 수 있는 소리를 담지 못하게 만드는 신호를 내보낸다는 것이다. 정가는 1,199달러, 사전 주문 가격은 839.99달러로 안내됐다.
공개 직후 토론토대학교 시티즌랩의 존 스콧레일턴이 공개적으로 이의를 제기했다. 요지는 세 가지였다. 초음파 마이크 재머는 새로운 물건이 아니며 알리바바와 스파이 용품점에서 수백 종이 팔리고 부품값 50달러 남짓의 자작 키트도 있다는 것, 회사가 내세운 "새로운 물리학"과 인공지능 기반 마이크 탐지는 사실이라면 그에 상응하는 증거를 요구하는 종류의 주장이라는 것, 그리고 실제 탐지 방식은 와이파이·블루투스 스캔일 개연성이 높은데 정작 사람들이 두려워하는 마이크는 무선 신호를 내지 않는다는 것이다. 비행기 모드로 전환한 휴대전화, 네트워크에 붙지 않는 소형 녹음기는 목록에 잡히지 않는다.
제조사는 독립 시험 결과가 존재하지 않는 시점에 선주문 대금을 받는 위치에 있고, 그 위치에서는 원리를 공개하지 않는 편이 합리적이다. 신호 생성 방식은 비공개로 두고 음성과 닮았다는 정도만 밝혔다. 반대편에서 문제를 제기한 쪽은 상용 감시 소프트웨어의 실물 검증을 업으로 하는 연구자이고, 그 자리에서는 검증 불가능한 주장 일반을 표적으로 삼는 것이 직무에 부합한다.
양쪽 모두 자기 위치에 충실하다는 점이 오히려 문제의 핵심을 드러낸다. 재머의 실제 유효성은 대상 마이크의 하드웨어 특성, 거리와 각도, 상대가 쓰는 복원 모델이라는 세 변수의 함수인데, 구매자는 이 중 어느 것도 확인할 수 없다. 성능이 아니라 성능에 대한 진술만 거래되는 시장이다.
대항 기술이 밀리는 이유를 연구비 규모의 차이로 설명하는 것은 절반만 맞다. 더 결정적인 변화는 2025년 하반기에 일어났다. 7월 22일 아마존이 49.99달러짜리 상시 녹음 웨어러블을 만들던 Bee를 인수했고, 2026년 1월 CES에서 이 제품은 알렉사·에코 로드맵의 일부로 소개됐다. 12월 5일에는 메타가 Limitless를 인수했다. 펜던트형 제품의 신규 판매는 중단됐고, 함께 운영되던 데스크톱 기록 도구 Rewind의 녹음 기능은 12월 19일 정지됐다.
다섯 달 사이에 이 분야는 독립 스타트업들이 경쟁하던 시장에서 두 플랫폼 기업과 소수의 잔존 사업자가 남은 구도로 바뀌었다. 여기서 인수의 대상이 무엇이었는지가 중요하다. 99달러짜리 목걸이를 계속 팔려고 산 것이 아니라, 사람이 하루 종일 말하는 내용을 수집하는 경로를 산 것이다. 상시 녹음은 이제 별도 기기를 사야 얻는 기능이 아니라, 이미 보유한 스마트 스피커·안경·이어폰 생태계에 얹히는 기능이 된다.
여기에 하나가 더 겹친다. 재머를 뚫는 데 쓰이는 음성 복원 기술은 감시를 목적으로 개발되지 않는다. 보청기, 화상회의, 통화 품질, 팟캐스트 편집이라는 거대하고 정당한 시장이 그 연구를 먹여 살린다. 마이크로소프트가 2020년부터 매년 열어 온 잡음 억제 경진대회처럼, 그 시장은 성능 개선을 공개적으로 겨루는 제도까지 갖췄다. 같은 알고리듬이 두 시장에 팔리는데, 한쪽 시장만 규모가 있다. 대항 기술에는 그에 대응하는 정당 시장이 없다. 대학 연구실 몇 곳과 소규모 기업이 남는다.
미국을 무대로 한 논의는 대체로 동의 요건을 중심으로 전개된다. 일방 당사자의 동의만으로 녹음이 가능한 주가 있고 모든 당사자의 동의를 요구하는 주가 있으니, 웨어러블 착용자는 자기 주의 법을 확인하라는 식이다. 한국의 지형은 다르다.
통신비밀보호법 제3조 제1항과 제14조 제1항은 공개되지 않은 타인 간의 대화를 녹음하거나 전자·기계적 수단으로 청취하는 행위를 금지한다. 제16조 제1항은 이를 위반한 자를 1년 이상 10년 이하의 징역과 5년 이하의 자격정지에 처하도록 정하고 있다. 벌금형이 없다. 나아가 제4조와 제14조 제2항에 따라 그렇게 얻은 내용은 재판이나 징계 절차에서 증거로 쓸 수 없다. 반면 대법원은 대화 당사자 본인이 하는 녹음은 여기서 말하는 타인 간의 대화에 해당하지 않는다고 일관되게 보아 왔다. 자신이 참여한 대화를 녹음하는 것과 남들의 대화를 녹음하는 것 사이에 형사처벌이라는 절벽이 놓인 구조다.
상시 녹음 웨어러블은 정확히 이 절벽 위를 걷는다. 장치는 착용자가 참여한 대화와 참여하지 않은 대화를 구분하지 않는다. 착용자가 자리를 비운 사이 책상 위에서, 카페 옆 테이블 방향으로, 착용자가 한마디도 하지 않은 회의에서 수집되는 발화는 법문 그대로 타인 간의 대화다. 기기 판매자는 이용약관에 녹음 관련 법규 준수 책임이 이용자에게 있다고 적어 두지만, 그 문장이 이전하는 것은 위험이지 위법성이 아니다. 착용자가 녹음 의사를 갖지 않았다는 사정은 고의 인정 단계에서 다툴 여지를 만들 뿐, 장치를 켜 둔 채 남의 대화가 있는 공간에 머무는 행위 자체가 안전 지대에 놓이지는 않는다.
규제 쪽 움직임도 시작됐다. 개인정보보호위원회는 2026년 7월 16일 청와대 영빈관에서 보고한 하반기 업무계획에서, 스마트 글라스를 비롯한 신기술 기기에 적용할 개인정보 보호 가이드라인을 마련하겠다고 밝혔다. 영상과 음성의 수집부터 저장·전송·삭제까지 데이터 처리 전반을 살펴 업체별 준수사항을 제시하고, 수집 사실을 알리는 방식과 범위, 보관 기간, 외부 서버 전송 여부, 삭제 기준을 담을 방침이다.
가이드라인이 겨냥하는 것은 제조사와 서비스 사업자의 데이터 처리 의무다. 그러나 통신비밀보호법의 형사 조항이 겨누는 것은 기기를 목에 건 개인이다. 한쪽은 행정 규범으로 기업을 다루고, 다른 한쪽은 형벌로 개인을 다룬다. 그 사이에 놓인 사람은 자기가 산 기기의 기본 동작이 곧 구성요건에 해당할 수 있다는 사실을 안내받지 못한 채 제품을 쓴다.
감시를 피하려는 쪽이 시장에서 방어 장비를 사는 순간 새로운 문제가 생긴다. 장비 자체를 신뢰할 수 있는가.
이 물음에 대한 가장 값비싼 답변이 Anom이다. 미국 연방수사국은 2018년부터 암호화 전화 사업체를 직접 운영하며 정보원을 통해 단말을 유통시켰다. 이탈리아·발칸 조직범죄 집단과 오토바이 갱단을 포함해 300개가 넘는 범죄 조직이 100개국에서 1만 2,000대 이상을 사용했고, 이들 사이에서 이 단말은 지위의 표식이 됐다. 모든 메시지에는 복호화에 필요한 정보가 함께 실려 있었다. 2021년 6월 검거 시점까지 수사기관이 확보한 메시지는 2,700만 건이었다.
여기서 끌어낼 교훈은 암호화가 무의미하다는 것이 아니다. Anom 사용자들은 암호화를 신뢰한 것이 아니라 암호화한다고 말한 사업자를 신뢰했다. 원리가 공개되지 않고 독립 검증도 없는 보안 제품에 대한 신뢰는, 그 자체가 공격면이다. 사용자는 자기가 안전하다고 믿는 정도만큼 평소보다 더 많은 말을 한다.
작동 원리를 밝히지 않고 판매되는 재밍 장치에도 같은 구조가 적용된다. 최선의 경우 그 장치는 무력하다. 그보다 나쁜 경우는, 장치를 켰다는 이유로 사용자가 평소라면 하지 않았을 말을 하는 것이다. 검증되지 않은 방어 장비는 위험을 줄이는 대신 위험 인식을 줄인다. 실제 노출량은 그만큼 늘어난다.
고양이와 쥐의 경주라는 비유가 이 상황에 자주 붙지만, 비유가 어긋나는 지점이 있다. 고양이와 쥐는 같은 진화 속도로 달린다. 여기서는 한쪽이 세계에서 가장 자본이 두터운 기업들의 연구 조직이고, 다른 한쪽은 학위논문 몇 편과 배송을 시작하지 않은 제품 하나다. 그리고 쥐가 달리는 트랙은 고양이가 만든 부품 위에 깔려 있다.