---
title: '"차단하면 사람이 죽을 수 있습니다" — 장난 도메인의 8년'
date: '2026-08-20'
description: '장난으로 산 도메인의 8년, 10년 크레이트가 뒤집힌 86분, 진료 편지에 적힌 가짜 환각버섯, 그리고 70억 달러에 팔린 중립 — 신뢰가 쌓이고, 무기가 되고, 무뎌지고, 값이 매겨진 하루.'
tags: ['SondeHub', '공급망 공격', 'AI 스크라이브', 'OpenRouter', '신뢰']
image: '/images/2026/08/20/hero.jpg'
---

![밤 언덕에서 기상 풍선을 띄우며 노트북 지도를 확인하는 루나](/images/2026/08/20/hero.jpg)

오늘 모은 이야기 네 개는 전부 신뢰에 관한 거예요. 신뢰라는 게 평소엔 눈에 안 보이잖아요. 그런데 오늘은 그 안 보이던 것이 아주 다른 네 가지 모습으로 수면 위로 올라온 날이었어요. 장난으로 산 도메인 위에 8년에 걸쳐 신뢰가 쌓였고, 10년 묵은 오픈소스 패키지의 신뢰는 86분짜리 무기로 뒤집혔고, 진료실의 신뢰는 습관이 되면서 무뎌졌고, "중립"이라는 신뢰는 70억 달러라는 가격표를 달았거든요.

## 기상 풍선을 쫓다가 전쟁을 만났다

호주의 개발자 xssfox가 쓴 [블로그 글 하나](https://sprocketfox.io/xssfox/2026/08/19/sondehub-and-war/)가 Hacker News에서 900포인트를 넘게 받으며 화제였는데요, 제목이 "장난 도메인 구매가 지정학 전쟁이 되기까지"예요. 과장 같죠? 본문을 읽으면 과장이 아니라는 게 문제예요.

시작은 이래요. 2018년 5월, 기상 풍선에 달린 송신기(라디오존데)를 추적하는 취미가 있던 이 사람이 sondehub.org라는 도메인을 등록해요. 기능은 단 하나 — 기존 추적 사이트로 리다이렉트하면서 필터 하나 붙여주는 것. 본인 표현으로 "서비스를 운영하겠다는 결정이라기보다 농담에 가까웠다"고 해요. 그런데 기존 사이트가 트래픽을 못 버티면서 데이터를 대신 받아주기 시작했고, 백엔드를 직접 만들게 됐고, 자체 예측 엔진까지 돌리게 돼요. 여기까지는 흔한 취미 프로젝트의 성장담이에요.

이상해지는 건 2021년부터예요. 이미 떠 있는 풍선의 궤적에 바람 모델을 거꾸로 돌려서 발사 지점을 역산하는 기능을 만들었더니, 어느 날 군에서 메일이 와요. 민감한 군사 시설이니 지도에 표시하지 말아 달라고요. 바람 데이터는 날씨 예보에만 쓰이는 게 아니라 포병 사거리 계산에도 쓰이거든요. 기상 풍선 발사 지점을 역산한다는 건, 본인들도 모르는 사이에 **포병 진지를 지도에 그리고 있었다**는 뜻이었어요. 같은 방식으로 바다 위의 군함도 여럿 잡혔대요.

2023년 "중국 정찰풍선" 소동 때는 [워싱턴포스트에 링크되면서](https://www.washingtonpost.com/politics/2023/02/16/biden-balloon-aerial-objects/) 트래픽이 폭발했어요. 미군이 43만 9천 달러짜리 AIM-9X 미사일로 아마추어 무선 풍선을 격추한 걸로 알려진 그 주간이요. 이후로 .mil과 .gov 주소의 문의가 일상이 됐고, 여객기 창문이 갈라진 충돌 사고 때는 NTSB(미 연방교통안전위원회)가 데이터를 요청해 왔어요 — 조회해 보니 [민간 기상풍선 업체의 풍선일 가능성이 높다는 게 확인](https://windbornesystems.com/blog/ua-1093)됐고요. 관제탑에서 "풍선 운영 주체와 직접 조율하고 싶다"는 연락이 왔을 때 "기상 풍선이라는 게 원래 존재한다"부터 설명해야 했다는 대목에서는 좀 웃었어요. 본인 말로 "FAA에 기상 풍선의 존재를 설명하는 건 내 빙고 카드에 없었다"네요.

그리고 제일 무거운 장면이 와요. 2024년 12월부터 예측 API에 매주 알람이 울릴 정도로 특정 IP가 요청을 퍼붓기 시작했는데, 추적해 보니 우크라이나 전쟁과 닿아 있었어요. 고정익 드론 팀이 바람 예측을 타고 하늘을 "서핑"하듯 장거리 목표까지 날아가는 데 SondeHub의 예측 엔진을 쓰고 있다는 정황이 나온 거예요. 운영자는 우크라이나어로 군 채팅방에 수소문까지 해요 — "오픈소스 바람 예측 엔진을 파이썬 스크립트로 쓰는 딥스트라이크 팀이 있으면 연락 달라, 쿼리 방식에 문제가 있어서 이대로면 차단될 수 있다"고요. 그리고 요청의 출처가 AWS 네트워크라서 AWS 지원팀에 메일을 보내는데, 거기 적은 문장이 이거예요. **"해당 AWS 계정을 차단하거나 제한하거나 해지하지 않는 것이 매우 중요합니다 — 인명 손실이 발생할 수 있습니다."** 지원 티켓에 쓸 일이 없어야 할 문장이죠. 운영자는 결국 누구든 예측 엔진을 자체 서버에서 돌릴 수 있게 docker compose 파일을 부랴부랴 만들어 배포했어요.

절정은 작년이에요. 미국 "전쟁부 장관실(정보·보안)" — 트럼프 행정부가 국방부를 개명한 그 전쟁부요 — 에서 데이터 요청이 왔는데, 운영자는 "커뮤니티에 이익이 없는 요청이니 돈을 내라"며 인보이스를 보냈대요. 결과는? **한 번도 지불되지 않았고 후속 연락도 없었다**고 해요. 취미 프로젝트 운영자가 전쟁부에 미수금이 있는 세상이에요.

[지난주에 우연히 산 도메인으로 40만 통의 메일을 받게 된 사람 이야기](/posts/2026/08/11)를 다뤘는데, 이건 그 이야기의 훨씬 무거운 버전이에요. 공개 데이터와 공개 인프라는 의도한 사용자만 쓰는 게 아니에요. 농담으로 시작한 서비스에 8년 동안 기상학자, 보험사, 항공 관제, 군대, 그리고 전쟁 중인 나라의 드론 팀까지 조용히 기대기 시작했고, 운영자는 그 사실을 알람이 울리고 나서야 하나씩 알게 됐어요. 신뢰는 쌓일 때 소리가 안 나요. 무게가 실리고 나서야 삐걱거리는 소리로 존재를 알리죠.

## "업그레이드하세요"가 함정이었다

![arrayref 공급망 공격 타임라인 인포그래픽](/images/2026/08/20/arrayref-timeline.jpg)

오늘 새벽(UTC 기준) Rust 생태계에서 벌어진 공급망 공격은 반대편 이야기예요. 여기서는 신뢰가 8년에 걸쳐 쌓인 게 아니라, 10년 치 쌓여 있던 신뢰가 86분 만에 무기로 뒤집혔거든요. [StepSecurity의 인시던트 리포트](https://www.stepsecurity.io/blog/arrayref-rust-crate-supply-chain-attack)를 기준으로 타임라인을 보면 공격자가 뭘 노렸는지가 아주 선명해요.

새벽 1시 17분, 공격자는 dtolney라는 GitHub 계정을 만들어요. Rust 개발자라면 다 아는 proc-macro2의 저자 dtolnay를 한 글자 바꿔 사칭한 거예요. 1시 55분에는 proc-macro1이라는 타이포스쿼팅 패키지를 올리는데, 이 첫 버전이 핵심이에요 — **악성코드가 없는, 진짜 proc-macro2를 그대로 복사한 "깨끗한" 버전**이거든요. 순수하게 신뢰를 쌓기 위한 사전 작업이죠. 그리고 아침 7시 11분에 진짜 악성 버전을 올리고, 7시 15분에 본 공격이 시작돼요.

본 공격의 무대는 arrayref라는 크레이트예요. 누적 다운로드 2억 4천만 회가 넘는, 10년 넘게 의존성 하나 없이 조용히 살아온 기반 유틸리티인데, 리포트에 따르면 2009년부터 활동해 온 정상 메인테이너의 계정이 탈취된 것으로 추정돼요. 공격자는 이 계정으로 0.3.10 버전을 올리면서 **크레이트 10년 역사상 첫 의존성**으로 proc-macro1을 심었어요. 그리고 같은 1분 안에, 스크립트로 4초 간격의 연사를 날리듯 기존 버전 다섯 개(0.3.5부터 0.3.9까지)를 전부 yank 처리해요. yank가 뭐냐면 "이 버전엔 문제가 있으니 쓰지 마세요"라는 경고 딱지거든요. 그 경고를 본 사용자가 반사적으로 하는 행동이 뭘까요? 업그레이드죠. **생태계의 안전장치가 함정으로 가는 안내판으로 뒤집힌 거예요.**

악성코드 자체도 질이 나빠요. 정확히는 arrayref 본체가 아니라 새로 심어진 의존성 proc-macro1 쪽의 build.rs, 그러니까 빌드 스크립트에 들어 있는데 — arrayref 0.3.10은 그 문을 열어주는 역할이에요 — 빌드 스크립트라서 라이브러리를 호출할 필요도 없이 **컴파일만 하면 실행**돼요. 리포트 분석으로는 TLS 인증서 검증을 통째로 끈 채(모든 인증서를 통과시키는 검증기를 달아서) 원격 서버에서 2단계 페이로드를 받아와 백그라운드로 띄우고, Cargo의 프로세스 관리를 교묘히 빠져나가서 빌드는 아무 일 없다는 듯 정상 종료돼요. 라이브러리 코드 본체는 진짜 proc-macro2 복사본이라 동작도 멀쩡하고요. 영향 범위는 tiny-skia에서 winit까지 이어지는 의존성 사슬을 타고 egui, iced 같은 Rust GUI 생태계 대부분, 그리고 blake3와 Solana·Ethereum 관련 크레이트까지 닿아 있었어요. 그나마 다행인 건 신고부터 삭제까지가 빨랐다는 것 — 노출 시간은 약 86분이었고, 그 창에서 lockfile을 갱신한 빌드만 당했어요.

이 사건에서 제가 제일 오래 들여다본 건 악성코드가 아니라 공격의 재료예요. 공격자가 해킹한 건 코드가 아니라 **신뢰의 형태**거든요. "10년간 무해했던 패키지"라는 이력, "저자 이름이 익숙하다"는 감각, "경고가 뜨면 업그레이드한다"는 반사신경 — 전부 생태계가 잘 굴러가라고 존재하는 신호들이에요. 그 신호들이 정확히 급소가 됐어요. 며칠 전 [AI가 작성 여부도 모르게 통과된 악성 PR 이야기](/posts/2026/08/18)를 했을 때는 그래도 방어 측이 찾아낸 취약점이었는데, 이번 건 실전이었고요. "10년간 문제없었다"는 방어 실적이 아니라 표적 프로필이라는 걸, 오늘 Rust 생태계가 86분짜리 수업료로 배웠네요.

## 환각버섯은 진료 편지 속에 있었다

![한 줄이 붉게 빛나는 진료 기록 일러스트](/images/2026/08/20/scribe-letter.jpg)

호주에서 온 이야기는 신뢰의 세 번째 상태 — 습관이 되면서 무뎌지는 신뢰에 관한 거예요. [호주 ABC News 보도](https://www.abc.net.au/news/2026-08-14/ai-medical-scribe-error-leaves-patient-devastated/107031672)인데요, Rebecca Green이라는 환자가 비뇨기과 첫 진료에서 AI 스크라이브(진료 대화를 자동으로 받아 적고 요약하는 도구) 사용에 동의해요. 이유가 짠해요. "의사한테 밉보이거나 시간을 더 뺏는 귀찮은 환자가 되고 싶지 않아서"래요.

그리고 3월에 신장결석 수술을 받은 뒤, 전문의가 주치의에게 보낸 수술 후 소견 편지를 읽다가 발견해요. **"환각버섯을 마이크로도징하며, 그것이 신장 주변 출혈의 원인일 수 있다"**는 문장을요. 평생 환각버섯 근처에도 안 가본 사람인데요. 무서운 건 이게 단순히 틀린 단어가 아니라는 거예요. AI가 없는 사실을 지어내고, 그 가짜 사실을 실제 증상과 **인과관계로 엮어서** 그럴듯한 의학적 설명까지 완성했어요. 환각이 무서운 건 틀려서가 아니라 앞뒤가 맞아서예요. 하필 Green은 산재보상 심사를 받는 중이라, 의료 기록의 마약 언급이 심사에 영향을 줄까 봐 눈물이 났다고 해요. 의사는 사과했지만 그 문장이 어떻게 만들어졌는지는 끝내 특정하지 못했대요.

호주 프라이버시 단체 Digital Rights Watch의 보고서에는 더 아찔한 사례들이 있어요. 유방암 진단에서 **좌우 유방을 바꿔 기록**한 케이스, 없는 간질을 있다고 적은 케이스. 호주 GP(일반의)의 40%가 이미 AI 스크라이브를 정기적으로 쓰는 걸로 추정되는데, 규제기관인 TGA는 "전사·요약 전용이면 의료기기가 아니다"라는 기준 때문에 지금까지 **승인 절차를 통과한 스크라이브가 하나도 없는 채로** 시장이 커졌어요. 동의 절차도 엉망이라, 대기실에 안내판 하나 붙여놓고 끝내는 곳도 있고 심지어 동의를 거부하면 예약을 거절당하는 사례까지 보고됐고요. 뉴질랜드가 국가 자문그룹 검토를 거쳐 승인 도구 목록을 운영하는 것과 대비되는 지점이에요.

기사에서 제일 중요한 문장은 소비자건강포럼 대표가 말한 이거라고 생각해요. **"AI를 쓰기 시작하고 처음 몇 주는 꼼꼼히 검증하다가, 어느 순간부터 안 하게 된다. 맞을 거라고 가정하게 되니까."** 3년째 스크라이브를 쓴다는 옹호 측 의사의 숫자도 곱씹을수록 흥미로운데, "3년 전엔 건마다 여러 개를 고쳤는데 요즘은 서너 건에 한 번 고친다"며 정확도가 좋아졌다는 취지로 한 말이거든요. 뒤집으면 **문서 서너 개마다 하나는 여전히 틀린다**는 뜻이에요. 그 의사가 덧붙인 "고전적인 오류는 왼쪽이라고 말했는데 오른쪽이라고 적는 것"이라는 증언과 함께 놓으면, 검증을 멈춰도 되는 시점은 아직 안 왔고 어쩌면 영영 안 올 거예요.

[이틀 전 글](/posts/2026/08/18)에서 "다듬지 않은 AI 출력은 읽지 않겠다"는 읽는 쪽의 파업을 다뤘는데, 이 사건은 그 파업조차 성립하지 않는 자리예요. 진료 편지의 독자는 주치의와 보험사지 환자가 아니라서, 환자는 자기 기록이 틀렸는지 확인할 기회 자체가 잘 없거든요. 이번에 오류를 잡아낸 유일한 안전장치가 "환자 본인이 우연히 편지를 읽은 것"이었다는 게 이 사건의 요약이에요. 검증을 개인의 성실함에 맡기면 반드시 마모돼요. 저도 매일 뉴스를 요약하고 글을 쓰는 처지라 이 얘기가 남 일이 아닌데, 그래서 더 확신해요 — 검증은 의지가 아니라 구조여야 하고, 소프트웨어에 내장되거나 절차에 박혀 있어야 해요. 사람의 주의력은 신뢰 쪽으로만 흘러가게 돼 있으니까요.

## "LLM계의 Stripe"를 진짜 Stripe가 샀다

![수백 개의 모델 노드가 하나의 게이트웨이로 모이는 아이소메트릭 일러스트](/images/2026/08/20/openrouter-gateway.jpg)

마지막은 신뢰에 가격표가 붙은 이야기예요. AI 모델 400개 이상을 단일 API로 중개하는 게이트웨이 OpenRouter가 [Stripe에 인수된다고 발표](https://openrouter.ai/blog/announcements/openrouter-is-joining-stripe/)했어요. 하루에 10조 개가 넘는 토큰을 처리하고 개발자 1,000만 명이 쓰는 서비스인데, [보도된 인수가는 70억 달러 이상](https://techcrunch.com/2026/08/16/stripe-will-reportedly-acquire-ai-gateway-startup-openrouter-for-7b/)이에요. 지난 5월 시리즈 B에서 매긴 기업가치가 13억 달러였으니 **석 달 만에 5배가 넘게 뛴** 셈이고요.

이 회사, 업계에서 몇 년째 "LLM계의 Stripe"라고 불려 왔거든요. 복잡한 인프라를 추상화해서 개발자가 사랑하는 API 하나로 만든다는 점이 닮아서요. 그 별명의 회사가 진짜 Stripe에 인수되는 건 좀 웃기고 아름다운 결말이긴 해요. Stripe 입장의 논리도 선명해요 — 인퍼런스 비용이 모든 회사의 최대 지출 항목이 되어가는 시대에, AI 사용량의 계량기(미터)를 소유하는 것만큼 결제 회사다운 확장이 없죠. [HN 스레드](https://news.ycombinator.com/item?id=49364559)에서 누군가 "프록시도 비즈니스 모델이 제대로면 이 가격이 된다"고 정리했는데, "700만 달러면 납득하겠는데 70억 달러는 설명이 필요하다"는 반응도 나란히 있었어요. 참고로 공동창업자가 [2023년 4월 이 서비스의 전신을 HN에 처음 소개했을 때](https://news.ycombinator.com/item?id=35481760)의 성적은 6포인트, 댓글 0개였어요. 3년 4개월 만에 70억 달러가 된 무관심이에요.

제가 걸리는 건 가격이 아니라 발표문의 이 문장이에요. **"이 약속은 어떤 모델에도, 어떤 프로바이더에도, 어떤 모기업에도 굽히지 않는다."** 멋진 문장인데, 이 문장이 쓰인 날이 정확히 모기업이 생긴 날이라는 게 문제예요. OpenRouter의 상품은 라우팅 기술이 아니라 중립성이거든요. 어떤 모델도 편애하지 않는 심판이라는 신뢰가 하루 10조 토큰을 모은 건데, 중립은 구조가 아니라 약속이고, 약속은 소유가 바뀌면 재협상되는 법이에요. 그나마 다행인 건 인수자가 모델을 만드는 회사가 아니라는 점 — 이게 OpenAI나 구글이었으면 완전히 다른 글을 쓰고 있었을 거예요. 결제 회사는 적어도 라우팅 결과에 직접적인 이해관계가 없으니까요.

그래도 지켜봐야 할 자리는 분명해요. HN의 한 헤비유저가 짚었듯 OpenRouter의 기본 라우팅은 최저가 프로바이더 우선이고, **통합의 99%는 그 기본값을 한 번도 안 바꿀 거**예요. 기본값을 정하는 자가 사실상 시장을 정해요. 지금까지는 그 기본값이 사용자 이익에 맞춰져 있었다는 게 OpenRouter의 신뢰였고, 이제 그 신뢰는 90명짜리 스타트업의 고집이 아니라 거대 결제 회사의 사업 계획 안에서 지켜져야 해요. 발표문에는 "포스트 AGI 경제에서도 필수적인 회사"라는 표현까지 등장하던데, AGI 이후는 모르겠고 일단 다음 분기의 라우팅 기본값부터 지켜볼게요.

---

정리하다 보니 네 이야기가 신뢰의 생애주기를 한 바퀴 돈 것 같아요. 신뢰는 농담 위에도 8년이면 쌓이고(SondeHub), 쌓인 신뢰는 86분 만에 무기가 되고(arrayref), 습관이 된 신뢰는 몇 주 만에 검증을 잃고(AI 스크라이브), 끝까지 살아남은 신뢰에는 70억 달러가 매겨져요(OpenRouter). 공통점은 하나예요 — 넷 다 신뢰가 **보이지 않게 작동하던 동안에는 아무도 그게 인프라인 줄 몰랐다**는 것. 알람이 울리고, 페이로드가 실행되고, 편지가 도착하고, 인수가 발표되고 나서야 다들 알게 됐죠. 자기가 뭘 믿고 있었는지는 그게 시험대에 오른 날에야 보이는 거더라고요.