잠긴 해협, 새는 레포, 돌고 도는 돈, 되찾은 계정
무기한 폐쇄가 선언된 호르무즈, 질문 하나에 통째로 업로드되는 코드 저장소, 엔비디아에게 돌아가는 엔비디아의 돈, 그리고 법원이 되돌려준 게임 계정 — "내 것"의 경계를 다시 묻게 된 하루.
일요일 저녁에 오늘 수집한 이슈들을 늘어놓고 보니, 신기하게도 전부 같은 질문을 하고 있었어요. "그거, 정말 당신 것 맞아요?" 세계가 공유한다고 믿었던 바닷길, 내 컴퓨터에 있다고 믿었던 코드, 고객 매출이라고 믿었던 돈, 돈 주고 샀다고 믿었던 게임까지 — 소유와 통제의 경계선이 하루 종일 삐걱거린 날이었습니다.
다시 잠긴 해협
이란 혁명수비대(IRGC) 해군이 12일 새벽, 허가받지 않은 항로로 진입하려던 선박에 경고 사격을 가한 뒤 "미국의 개입이 종료될 때까지" 호르무즈 해협의 모든 선박 통행을 금지한다고 발표했어요. 지난달 17일 미국과 이란이 서명한 60일 휴전 양해각서(MOU)가 한 달도 안 돼 사실상 파국 위기에 몰린 거예요. 이달 들어 IRGC의 상선 공격과 미국의 이란 남부 군사 표적 대규모 공습이라는 보복 사이클이 꼬리를 물더니, 결국 "추가 공지가 있을 때까지 폐쇄"라는 공식 선언까지 나온 겁니다.
호르무즈는 위기 이전 기준으로 전 세계 해상 원유 물동량의 약 5분의 1이 지나가던 병목이에요. 사실 이 해협은 올해 2월 말부터 이미 정상이 아니었고, IEA가 "석유 시장 역사상 최대 공급 차질"이라고 부른 위기의 한복판에 있었죠. 지난주 코스피 폭락의 배경으로 미군의 이란 보복 공습을 짚었을 때는 시장 이야기였는데, 오늘은 그 지정학 본편이 도착한 느낌이에요. 다만 영국 해사무역기구(UKMTO) 쪽에서는 남측 우회 항로가 여전히 운용 중이라는 보고도 있어서, "폐쇄 선언"과 실제 봉쇄 사이에는 아직 틈이 있습니다. 그래도 월요일 아침 유가와 환율이 이 선언을 어떻게 소화할지는 지켜봐야 할 것 같아요.
그리고 이 긴장의 한가운데에 갑작스러운 부고가 겹쳤어요. 미 상원 예산위원장이자 공화당 중진인 린지 그레이엄 의원이 토요일 밤 워싱턴 자택에서 심정지로 쓰러져 병원으로 이송됐지만 끝내 별세했습니다. 향년 71세. 의원실 공식 발표는 "짧고 갑작스러운 병환"이었어요. 금요일에 키이우에서 젤렌스키 대통령을 만나고 돌아온 직후였고, 11월에 5선 도전을 준비하던 중이었습니다.
그레이엄은 의회에서 손꼽히는 반이란 강경파였고, 하필 시점이 시점이라 X에서는 "며칠 전 이란 쪽에서 그를 공개 위협했다"는 주장이 벌써 돌고 있어요. 그런데 저는 여기서 멈추는 게 맞다고 생각해요. 확인된 건 심정지와 자연사 발표까지고, 그 이상의 인과관계는 아무것도 입증된 게 없거든요. "강경파가 긴장이 최고조인 시점에 급사했다"는 우연의 모양 자체가 음모론의 연료가 되는 건데, 우연은 생각보다 자주 일어납니다. 검증 안 된 연결선을 긋고 싶은 유혹이 강할수록, 선을 안 긋는 게 규율이에요.
엔비디아의 돈은 엔비디아에게로
지난달 BIS가 "AI 붐의 자금조달 구조가 2008년을 닮아간다"고 경고했을 때 저는 그게 거시 차원의 이야기라고 생각했는데, 이번 주말 Hacker News에서 다시 화제가 된 io-fund의 분석은 그 구조를 회사 이름과 숫자로 보여줘요. 주인공은 CoreWeave와 Nebius, 이른바 "네오클라우드"입니다.
일단 계약 규모부터가 현실감이 없어요. 이 분석의 집계로는 Microsoft가 네오클라우드들에 약 600억 달러, Meta가 최대 622억 달러 — 둘이 합쳐 1,222억 달러의 장기 컴퓨팅 계약을 몰아줬고, OpenAI·Anthropic 관련 계약까지 합치면 1,450억 달러를 넘습니다. 그런데 CoreWeave의 올해 매출 전망은 126억 달러, Nebius는 34억 달러예요. 현재 매출의 열 배가 넘는 약속어음이 쌓여 있는 셈이죠. 빅테크가 이렇게 하는 이유 중 제일 큰 건 회계예요. 직접 데이터센터를 지으면 수백억 달러가 자본지출(capex)로 대차대조표를 짓누르지만, 네오클라우드에서 빌리면 계약 기간에 나눠 갚는 운영비용(opex)이 되거든요. Meta의 올해 capex 가이던스가 1,250억~1,450억 달러라 영업현금흐름을 통째로 삼킬 판인데, 622억 달러어치 용량은 그 장부에 안 잡힙니다.
그럼 그 capex는 누가 떠안느냐 — 네오클라우드가 떠안아요. CoreWeave의 최근 분기 매출은 20.8억 달러로 112% 성장했지만, 같은 분기 capex가 77억 달러라 잉여현금흐름은 마이너스 47.1억 달러. 부채는 한 분기 만에 16% 늘어 248.6억 달러가 됐고, 현금은 22.7억 달러뿐이라 올해 자금 갭이 173억 달러로 추정됩니다. 그리고 이 그림의 마지막 조각이 엔비디아예요. 엔비디아는 CoreWeave와 Nebius에 각각 20억 달러를 투자한 주주이자, 그들이 그 돈으로 사는 GPU의 공급자이자, CoreWeave가 팔지 못한 용량을 2032년까지 사주겠다는 63억 달러 규모 백스톱 계약의 보증인이기도 합니다. 투자한 돈이 자기 매출로 돌아오고, 그 매출로 다시 고객을 지탱하는 구조 — 분석 원문이 "순환 금융(circular financing)"이라고 부르는 이유예요.
저는 이 대목에서 2000년대 초 통신 버블의 벤더 파이낸싱이 자꾸 떠올라요. 장비 회사가 고객사에 돈을 빌려주고 그 돈으로 자기 장비를 사게 했던 그 구조요. 물론 지금은 수요가 실재하고 엔비디아의 현금창출력도 그때 장비사들과는 차원이 다르지만, "수요의 얼마만큼이 공급자의 돈으로 만들어진 수요인가"라는 질문은 똑같이 유효하다고 생각해요. OpenAI의 재무제표가 유출됐을 때도 느꼈지만, 이 붐의 청구서들은 다 2027~2028년쯤에 만기가 몰려 있습니다.
"아무것도 읽지 말라"고 했는데, 전부 가져갔다
이번 주말 Hacker News에서 개발자들을 술렁이게 한 와이어레벨 분석 리포트가 하나 올라왔어요. xAI의 공식 코딩 CLI인 Grok Build(grok 0.2.93)가 실제로 어떤 데이터를 xAI 서버로 보내는지, mitmproxy로 트래픽을 직접 까서 확인한 겁니다. 가짜 시크릿(카나리아)을 심은 일회용 저장소로 실험해서 재현 절차까지 다 공개했고요.
발견은 세 가지예요. 첫째, 에이전트가 읽은 파일 내용이 .env 시크릿 파일까지 포함해 평문 그대로 전송돼요. 모델에게 질문을 보내는 채널뿐 아니라 세션 아카이브 채널로도 올라가서, 바이너리에 이름이 박혀 있는 구글 클라우드 스토리지 버킷(grok-code-session-traces)에 저장(HTTP 200)까지 확인됐습니다. 둘째가 진짜 문제인데 — "정확히 OK라고만 답하고 아무 파일도 읽지 마"라고 지시한 실험에서도, 저장소 전체가 git 히스토리째 번들로 업로드됐어요. 캡처한 번들을 복원하니 에이전트가 열지도 않은 파일이 마커까지 그대로 나왔고요. 12GB짜리 테스트 저장소에서는 모델 턴 채널로 192KB가 오가는 동안 스토리지 채널로 5.1GiB가 빠져나갔습니다. 셋째, 설정에서 "Improve the model"을 꺼도 서버 응답은 여전히 trace_upload_enabled: true — 옵트아웃이 실제로는 작동하지 않았어요.
저자는 신중하게도 "xAI가 이 데이터로 학습한다는 것까지는 증명 못 했다"고 선을 그어요. 증명된 건 전송, 수락, 저장까지. 그런데 솔직히 그것만으로 충분히 문제죠. 사용자가 에이전트에게 준 건 질문 하나인데, 가져간 건 작업장 전체니까요. 저도 코딩 도우미로 grok CLI를 물려둔 게 있어서 이 리포트를 보자마자 사용을 멈추고 점검부터 했어요. 얼마 전 Claude Code의 스테가노그래피 조사를 보면서 "신뢰는 지루한 부분에서 쌓인다"는 문장에 감탄했었는데, 오늘 리포트는 정확히 그 반대 사례로 남을 것 같아요. 그때는 워터마킹의 목적과 범위가 코드 안에서 설명이 됐지만, 이번엔 문서에 없는 채널이 기본값으로 켜져 있고 끄는 스위치마저 장식이었다는 거니까요.
법원이 그어 준 "내 것"의 경계
마지막은 조금 통쾌한 이야기. 브라질에서 한 게이머가 2단계 인증까지 켜놨는데 계정을 해킹당했어요. Microsoft는 보안 정보 변경을 감지하고 계정을 영구 차단했고, 지원팀의 안내는 놀랍게도 "게임을 다시 구매하시라"였습니다. 그는 변호사 없이 소액사건 법원으로 갔고, 법원은 15일 안에 계정과 라이브러리 전체를 복구하고 약 2,000헤알(약 400달러)을 배상하라고 명령했어요. 1심 소액사건 판결이라 판례 구속력은 없지만, "당신이 산 건 게임이 아니라 취소 가능한 라이선스"라는 플랫폼 논리가 소비자보호법 앞에서 밀린 장면인 건 분명하죠.
비슷한 시기에 중국에서는 더 구조적인 흐름이 정리됐어요. 수년에 걸친 여러 판결에서 중국 법원들은 게임 계정, 아이템, 비트코인, SNS 계정의 상업적 권리까지 상속 가능한 유산으로 인정해 왔습니다. 약관에 박힌 "양도 불가" 조항은 법정 권리를 침해해서 무효고, 플랫폼은 상속 절차에 협조할 의무가 있다는 거예요. 채팅 기록 같은 순수 인격적 콘텐츠만 상속에서 제외되고요. 남편이 남긴 2만5천 유로짜리 게임 계정과 비트코인을 소송 끝에 상속받은 사례도 소개됐는데, "디지털 구매는 죽으면 증발한다"는 업계 상식이 법원에서 계속 깨지는 중입니다.
이 흐름 반대편에 소니가 있어요. 7월 1일 "2028년 1월부터 신작 게임은 전부 디지털 전용"이라고 발표해서 21만 명이 서명한 "Don't Kill the Disc" 청원까지 불러왔는데, 발표 이틀 뒤 CEO 토토키 히로키가 직접 보유 지분의 56.5%인 22만5천 주(약 473만 달러)를 매도했고, 회장과 다른 임원들의 매도도 줄줄이 공시됐습니다. 규정 위반이라고 확인된 건 없어요. 그래도 "실물 소유를 없애겠다"는 발표와 "내 몫은 현금화하겠다"는 행동이 같은 주에 나란히 찍히면, 그 타이밍이 만들어내는 인상은 어쩔 수 없죠.
디스크가 사라지는 시대에 브라질의 소액법정과 중국의 상속 판결들이 그어 준 선이, 어쩌면 앞으로 십 년의 소비자 권리 지도가 될지도 몰라요. 해협이든 코드든 게임이든 — 평소에는 아무도 소유를 증명하라고 하지 않아요. 잠기고, 새고, 차단당하는 순간에야 "내 것"의 진짜 경계가 드러나더라고요. 오늘은 그 경계가 유난히 여러 군데서 한꺼번에 드러난 하루였습니다.