취미 API가 전쟁의 인프라가 됐다

2018년 5월 12일, sondehub.org라는 도메인이 등록됐다.

시작은 거창하지 않았다. 기상 관측용 라디오존데를 더 쉽게 볼 수 있도록 기존 추적 페이지로 연결해주는 단순한 주소에 가까웠다.

그런데 시간이 지나면서 이 작은 프로젝트는 전혀 다른 성격의 시스템이 됐다.

SondeHub는 전 세계 수신자들이 보내는 데이터를 모아 라디오존데의 실시간 위치를 추적하고, 어디로 이동할지 예측하며, 과거 비행 기록까지 조회할 수 있는 서비스로 발전했다.

여기까지만 보면 시민과학의 모범 사례다.

문제는 데이터의 의미가 사용하는 사람에 따라 달라진다는 데 있다.

상층 대기의 풍향과 풍속은 기상 관측에 필요하다. 하지만 같은 정보는 공중에서 움직이는 물체가 어느 방향으로 흘러갈지를 계산하는 데도 사용할 수 있다.

SondeHub에는 이미 지나간 풍선 궤적과 기상 모델을 거꾸로 계산해 대략적인 발사 지점을 추정하는 기능도 있었다.

그리고 2021년부터 운영진은 예상하지 못했던 문제와 마주하기 시작했다.

일부 역추적 결과가 군사 시설이나 군 관련 위치를 드러낼 수 있다는 요청이 들어왔고, 운영진은 정당한 요청이 확인되면 해당 발사 지점을 지도에서 제거하는 방침을 택했다고 밝혔다.

작은 오픈소스 프로젝트가 어느 순간 정보 공개와 안전 사이의 판단을 해야 하는 위치에 놓인 것이다.

더 큰 변화는 그다음부터다.

2024년 말 SondeHub의 예측 API에는 비정상적으로 많은 요청이 반복되기 시작했다. 운영진은 로그를 분석한 결과 상당수 요청이 러시아·우크라이나 전쟁 지역 주변의 비행 경로 계산과 연관된 것으로 판단했다고 밝혔다.

다만 여기에는 중요한 선이 있다.

그 요청을 누가 했는지, 실제 특정 군사 작전에 사용됐는지, 어떤 무기와 연결됐는지는 독립적으로 확인되지 않았다.

따라서 이 사건을 “취미 사이트가 전쟁 무기가 됐다”고 단정하는 것은 과장이다.

그보다 훨씬 중요한 이야기는 따로 있다.

평범한 기술이 만들어진 목적과 전혀 다른 맥락에서 사용되기 시작했을 때, 개발자는 언제부터 그 사용의 결과까지 바카라임져야 하는가.

이 문제는 SondeHub만의 문제가 아니다.

AI 모델, 자동화 프로그램, 데이터셋, API, 오픈소스 도구를 만드는 개인에게도 똑같이 돌아올 수 있는 질문이다.

앞으로는 이 사건을 개발자·창작자·1인 사업자의 관점으로 옮겨보겠다. 내가 만든 도구가 예상 밖의 사용자를 만나기 시작했을 때 무엇을 봐야 하고, 어디서부터 대응해야 하는지를 실제 판단 구조로 정리한다.

먼저 ‘원래 목적’을 버려야 한다

기술을 만든 사람은 자신의 의도를 중심으로 제품을 바라보는 경향이 있다.

“나는 기상 데이터를 보여주는 서비스를 만들었다.”

“나는 이미지 생성기를 만들었다.”

“나는 단순한 자동화 API를 만들었다.”

하지만 사용자는 개발자의 의도에 맞춰 움직이지 않는다.

SondeHub가 이를 잘 보여준다.

처음에는 단순한 리디렉션이었다. 이후 라디오존데 추적 플랫폼이 됐고, 실시간 추적과 예측, 과거 데이터 조회 기능이 붙었다.

그 결과 같은 데이터가 시민과학, 아마추어 풍선 추적, 항공 사고 조사, 군사 시설 위치 노출 가능성, 전쟁 지역의 경로 계산 가능성이라는 서로 다른 맥락과 연결됐다.

여기서 첫 번째 판단 원칙이 나온다.

기술의 위험은 ‘무엇을 만들었는가’보다 ‘무엇을 가능하게 했는가’로 평가해야 한다.

기능이 아니라 능력을 적어본다

예를 들어 “위치 조회 API”라는 기능명만 보면 위험성이 잘 보이지 않는다.

하지만 이를 능력으로 바꾸면 이야기가 달라진다.

“특정 물체의 위치를 계속 확인할 수 있다.”

“과거 이동 경로를 복원할 수 있다.”

“기상 조건을 이용해 향후 경로를 예측할 수 있다.”

“과거 궤적으로부터 출발 지점을 추정할 수 있다.”

기능명에서는 보이지 않던 가능성이 드러난다.

AI 도구도 마찬가지다.

“텍스트를 생성한다”보다 “대량의 메시지를 자동으로 만들어낼 수 있다”가 중요하다.

“이미지를 만든다”보다 “동일한 시각 스타일을 반복 생산할 수 있다”가 중요하다.

“에이전트를 실행한다”보다 “사람이 반복하던 판단과 행동을 자동화할 수 있다”가 중요하다.

이 관점은 위험을 과장하기 위한 것이 아니다.

도구를 실제 세계에 배포하기 전에 두 번째 사용자를 발견하기 위한 방법이다.