무단 AI 에이전트 팝업…메타, 제외 요청 거절
아마존이 메타의 뮤즈가 자사 사이트에서 하는 대리구매를 20일 밤(현지시간)부터 차단했다고 GeekWire가 보도했다.
차단에 앞서 아마존은 메타에 뮤즈 경험에서 아마존을 빼 달라고 요청했으나 메타가 거절했다고 블룸버그가 21일 전했다. 아마존 이용약관의 에이전트 조항은 에이전트가 자신을 밝히고, 아마존이 중단을 요청하면 접속하지 말라고 규정한다.
아마존, 요청 거절 뒤 차단 착수
20일 밤부터 뮤즈로 아마존 쇼핑을 시도한 이용자에게 팝업이 연달아 떴다. 문구는 “무단 AI 에이전트의 지속 접속은 고객이 동의한 아마존 이용약관을 위반한다”였고, 침입이나 해킹이 아니라 약관 위반을 내세웠다. 아마존은 다른 회사의 자동화 도구가 자사 사이트에서 쇼핑하는 것을 금지한다.
아마존에 따르면 메타는 뮤즈의 아마존 접속을 사전에 알리지 않았고, 아마존은 계정 접속·데이터 수집·거래 처리도 인가하지 않았다. 고객이 지시하면 주문 내역 같은 계정 페이지에도 접근할 수 있어, 동의 없이 계정과 거래를 다루는 제3자라는 것이 아마존 설명이다.
아마존 대변인 라라 헨드릭슨(Lara Hendrickson)은 이메일 성명에서 이렇게 말했다.
고객을 대신해 다른 사업체에서 구매를 대행하는 제3자 애플리케이션은 공개적으로 운영하고, 서비스 제공자의 참여 여부를 존중해야 한다는 점이 꽤 분명하다.
— 라라 헨드릭슨 아마존 대변인, 블룸버그 9월 21일 · “We think it’s fairly straightforward that third-party applications that offer to make purchases on behalf of customers from other businesses should operate openly and respect service provider decisions about whether or not to participate”
헨드릭슨은 음식 배달 앱과 식당, 온라인 여행사와 항공사처럼 대리 구매는 가맹 합의가 전제라고 밝혔다. 에이전트형 제3자 앱인 뮤즈에도 같은 의무가 있으며, 이렇게 해야 고객 경험이 안전하고 안정적으로 유지된다.
약관, 에이전트 식별을 의무화
약관 에이전트 조항은 에이전트를 “사람이나 법인을 대신해, 또는 그 지시에 따라 자율·반자율로 행동하는 소프트웨어나 서비스”로 정의한다. 에이전트는 모든 HTTP 요청의 사용자 에이전트 문자열에 Agent/[에이전트명]을 넣어야 한다.
사람 키 입력을 흉내 내거나 CAPTCHA를 통과해 정체를 가려서는 안 된다. 컴퓨터인지 묻는 질문에 사실대로 답해야 하며, 아마존이 접근 중단을 요청한 에이전트는 서비스를 쓰면 안 된다.
메타는 8일 미국에서 뮤즈를 출시했다. 공개 API가 있으면 이용자가 준 자격증명으로 연결하고, API가 없으면 브라우저로 사람처럼 서비스를 쓴다고 발표문에서 설명했다. 쇼핑은 출시 시연에 포함된 기능이었다.
The Register가 뮤즈에 아마존에서 평가가 좋은 사무용 의자를 찾아 장바구니에 담고 결제 직전까지 가 달라고 시켰다. 뮤즈는 아마존이 자동 브라우저를 막는 벽을 띄워 검색 페이지에조차 가지 못했고, 약관 위반 안내가 있어 벽을 넘지 않았다고 보고했다. 의자는 찾지 못했고 장바구니에도 넣지 못했다.
메타, 비밀번호는 못 본다고 반박
메타는 출시 때 자격증명 처리 방식을 공개했다. 뮤즈는 전용 가상머신(Muse Secure VM)에서 돌아가며, 연결한 서비스의 데이터와 자격증명은 그 안에 둔다.
뮤즈는 이용자의 비밀번호나 결제 수단을 볼 수 없다.
— 메타, 회사 발표문 9월 8일 · “Muse has no visibility into people’s passwords or payment methods”
공유한 로그인 정보는 보안 저장소에 들어간다. 브라우저에 직접 입력한 비밀번호도 같은 방식이다. 별도 감시 에이전트인 센티넬(Sentinel)이 인터넷으로 나가는 동작을 승인해야 한다.
이메일 발송이나 구매 같은 민감 행동은 이용자 확인을 거친다. 뮤즈는 한 일과 앞으로 할 일의 감사 추적을 이용자에게 보여 준다. 결제는 스트라이프(Stripe) 링크(Link)가 만든 일회용 카드로 처리해 실제 카드 번호를 숨긴다.
메타는 GeekWire와 블룸버그 등의 논평 요청에 즉시 응하지 않았다. 아마존은 메타와 직접 대화 중이라고 했고, 법적 조치 여부에는 답을 하지 않았다. 메타가 아마존을 뮤즈에서 뺄지, 식별 방식을 바꿀지는 정해지지 않았다.