마이크로소프트가 윈도우 사용자에게 지금껏 한 번도 요구하지 않았던 일을 요청하고 있다. 코파일럿이 파일을 열고, 사용자가 무엇을 작업해 왔는지 읽고, 매 단계마다 직접 클릭하지 않아도 PC에서 작업을 수행하도록 허용해 달라는 것이다. 마이크로소프트는 불리한 입장에서 이 요청을 꺼내 들었다. 마지막으로 회사가 AI 기능에 PC를 깊숙이 들여다볼 권한을 줬을 때, 연구진이 몇 주 만에 그 기능을 해체해 보였고 마이크로소프트는 결국 기능을 거둬들여야 했다.

출시 관련 보도는 기능 목록을 늘어놓는 데 그친다. 로컬 파일, 로컬 모델, 더 똑똑해진 작업 표시줄 같은 것들이다. 더 중요한 질문은 이 시도가 잘못될 경우 마이크로소프트가 어떤 대가를 치르느냐는 것이며, 이 문제에 관해서는 회사의 기조연설보다 자체 문서가 훨씬 솔직하다.

이제 윈도우 PC에서 코파일럿이 접근할 수 있는 것

마이크로소프트의 윈도우·서피스 행사에서 공개된 새 코파일럿은 코파일럿+ PC에서 회사가 ‘하이브리드 지능’이라고 부르는 기능을 제공한다. 사용자가 허용하면 코파일럿은 파일과 최근 활동을 비롯해 PC에 있는 관련 콘텐츠를 파악하고, 파일 정리, 기기 진단 평가, 문제 해결, 코드 작성, 기기 내 워크플로 실행 등 윈도우 전반의 작업을 수행할 수 있다. 일부 작업은 로컬 AI 모델로 처리하고, 더 까다로운 작업은 클라우드로 넘긴다. 마이크로소프트 윈도우·디바이스 부문 총괄 부사장 파반 다불루리(Pavan Davuluri)가 서명한 발표문은 코파일럿이 “사용자의 PC를 이해하고, 허락을 받으면 작업을 수행한다”고 설명한다.

마이크로소프트가 지속적이고 능동적이며 개인화된 에이전트라고 소개한 오토파일럿에도 같은 수준의 로컬 접근 권한이 주어진다. 행사 무대에서 코파일럿 책임자 제이컵 안드레우(Jacob Andreou)는 세금 신고철을 주제로 시연을 구성했다. 회계사에게서 온 이메일을 보여주고, 에이전트에게 회계사가 필요로 하는 자료를 모으도록 요청하는 방식이었다. 한편 작업 표시줄의 검색창은 다크 모드 켜기부터 문자 메시지 보내기까지 수천 가지 시스템 작업을 실행하는 명령줄로 바뀌고 있다.

마이크로소프트 보안팀은 이미 경고를 내놨다

보호 장치는 실제로 마련돼 있다. 크립토 브리핑(Crypto Briefing)이 설명한 대로 기능은 사용자가 직접 켜야 하고, 폴더 접근은 제한되며, 코파일럿 에이전트는 사용자 계정과 분리된 계정으로 실행된다. 행사에서 윈도우 11용으로 정식 출시된 샌드박스 계층인 Microsoft Execution Containers를 사용하면 조직이 에이전트가 접근할 수 있는 파일과 네트워크를 지정할 수 있다. 마이크로소프트는 정책이 에이전트의 통제 범위 밖에 있으므로 에이전트나 에이전트가 생성한 코드가 스스로 접근 권한을 늘릴 수 없다고 설명한다.

하지만 위험을 가장 날카롭게 짚은 설명은 마이크로소프트 내부에서 나왔다. 윈도우 보안 및 윈도우 플랫폼 담당 기업 부사장인 다나 황(Dana Huang)과 로건 아이어(Logan Iyer)는 올해 초, “파일을 읽고, 서비스를 호출하고, 환경을 변경하고, 작업을 연쇄적으로 실행하는” 에이전트가 “통제와 신뢰 측면에서 새로운 위험”을 초래하며 “LLM은 샌드박스를 탈출하는 능력을 키워 가고 있다”고 썼다. 이것이 격리가 필요한 이유에 대한 회사의 설명이다. 동시에 코파일럿+ PC에 이제 막 탑재하기 시작한 기능이 무엇인지 담담하게 밝힌 내용이기도 하다.

에이전트의 활동을 감사할 수 있게 해 주는 기능 중 일부는 아직 완성되지 않았다. Microsoft Entra는 에이전트 활동과 사용자 활동을 “곧” 구분할 예정이며, Intune을 통한 프로세스 컨테이너 관리 기능도 출시 예정으로 안내돼 있다. 발표문 각주에는 “대규모 거버넌스를 위해 추가 서비스가 필요할 수 있다”고 적혀 있다. IT 부서 입장에서는 정책과 약속 사이에 남은 간극이 바로 여기에 있다.

마이크로소프트가 떨쳐내지 못하는 리콜의 전례

마이크로소프트가 이런 상황을 맞은 것은 처음이 아니다. 화면에 표시되는 내용을 스냅샷으로 저장하는 기능인 리콜을 공개했을 때, 보안 연구원 알렉스 하게나(Alex Hagenah)는 데이터가 로컬 데이터베이스에 저장된다는 사실을 발견하고 멀웨어바이트가 인용한 한 문장으로 문제를 요약했다. “데이터베이스는 암호화돼 있지 않습니다. 전부 평문입니다.” 그는 데이터를 복사해 내는 도구도 만들었다. 마이크로소프트는 리콜을 기본적으로 꺼 두고 Windows Hello와 연동했으며 암호화를 추가했다. 이어 코파일럿+ PC 전면 출시 계획에서 빼 윈도우 인사이더 프로그램으로 옮겼지만, 그 미리 보기 공개마저 다시 연기했다.

두 번째 타격은 다불루리가 윈도우가 “에이전트형 운영체제로 진화하고 있다”고 쓴 뒤 찾아왔다. 더 스택(The Stack)에 따르면 해당 게시물에는 400개가 넘는 답글이 달렸고, 거의 모두 부정적이었으며, 그는 댓글 기능을 껐다. “사용 경험 측면에서 아직 할 일이 남아 있다는 점을 알고 있습니다”라는 그의 답변은 사용자들의 분노를 인정한 것이었다. 이번 출시는 그 방향이 달라지지 않았음을 보여 준다.

옵트인이 책임을 마이크로소프트에 돌리는 이유

사용자가 직접 선택하도록 한 것은 올바른 설계이며, 동시에 책임이 어디에 놓이는지도 분명히 한다. 기본 설정으로는 아무것도 켜지지 않으므로 코파일럿의 접근 범위는 사용자가 적극적으로 권한을 허용하는지에 달려 있다. 크립토 브리핑은 이것이 도입 여부를 좌우하는 지점이라고 짚었다. 사용자가 권한을 거부할 때마다 기능 자체보다 마이크로소프트의 과거 행보에 대한 판단이 드러난다. 크립토폴리탄(Cryptopolitan)은 리콜이 불러온 개인정보 보호 우려가 여전히 마이크로소프트를 따라다니며, 더 많은 에이전트 개발사가 컨테이너 시스템에 참여한다고 해서 에이전트가 저절로 더 안전해지는 것은 아니라고 지적했다.

하이브리드 기능을 사용하려면 코파일럿+ PC가 필요하며, 기기·시장·칩에 따라 시기는 다르지만 앞으로 몇 달에 걸쳐 출시될 예정이라고 마이크로소프트는 밝혔다. 작업 표시줄 검색 기능은 10월 7일부터 실험 채널의 윈도우 인사이더 사용자에게 배포되기 시작했고, 새 코파일럿과 작업 표시줄 검색을 연결하는 기능은 올해 말 일부 시장에 출시될 예정이다. 마이크로소프트에 따르면 현재 제작 중인 업무용 노트북의 40% 이상이 코파일럿+ PC다. 신제품을 대표하는 쇼케이스 모델인 Surface Laptop Ultra는 2,599달러부터 시작하며 10월 16일 판매에 들어간다.

마이크로소프트는 에이전트가 말로 빠져나갈 수 없는 샌드박스를 만들었다. 하지만 컨테이너가 해결해 주지 못하는 더 까다로운 문제가 하나 남아 있다. 코파일럿 에이전트가 처음으로 엉뚱한 파일을 옮기는 순간, 누구도 모델을 탓하지 않을 것이다. 비난은 윈도우를 향할 것이다.

태그: microsoft, AI 에이전트, Windows 11, Microsoft Copilot, Copilot+ PCs