메타가 지난 9개월간 페이스북·인스타그램·메신저·스레드에 AI로 생성된 아동 성착취물(CSAM)과 성적으로 암시적인 문구가 결합된 유료 광고를 다수 게재해 왔다는 사실이 드러났다. 독립 감시단체 테크 트랜스패런시 프로젝트(TTP)가 메타의 광고 라이브러리에서 50건 이상의 문제 이미지·영상 광고를 발견했고, 일부는 이번 주까지도 노출된 것으로 확인됐다. 이 광고들은 미국, 영국, 그리고 십수 개 유럽 국가의 이용자를 겨냥했으며, 일부는 남성만을 타깃으로 설정돼 있었다. WIRED가 메타에 문의한 뒤 해당 광고들은 삭제됐다.
핵심은 이것이 제3자가 플랫폼에 올린 게시물이 아니라, 메타가 직접 심사하고 승인해 광고비를 받으며 집행한 '광고'라는 점이다. TTP의 케이티 폴 디렉터는 이 광고들이 이미지를 가리거나 홍보 대상을 숨기려는 시도조차 하지 않았다고 지적했다. 실제로 한 영상 광고는 바닥에 앉은 아동의 썸네일에 'AI로 깊은 환상을 실현한다'는 문구를 얹은 뒤, 클릭하면 성행위 영상에 그 아동의 얼굴을 합성해 재생하는 방식이었다. 상당수 광고는 이른바 '누디파이(nudify)' 또는 옷을 벗기는 앱으로 연결됐다.
자동 심사의 구조적 허점
메타의 정책상 모든 광고는 게재 전 검토를 거치며, 이 과정은 '주로 자동화 도구'에 의존한다. 문제는 바로 여기에 있다. 자동 심사 파이프라인이 명백한 위반 콘텐츠를 걸러내지 못한 채 광고를 승인하고 노출까지 진행했다는 것은, 대량의 광고를 처리하는 규모의 시스템이 이런 유형의 조작·합성 콘텐츠에 얼마나 취약한지를 보여준다. TTP에 따르면 이번에 발견된 광고 묶음 중에는 메타가 과거 정책 위반으로 이미 삭제한 것과 동일한 광고도 포함돼 있었다. 자사 시스템이 동일 광고를 식별할 수 있는데도 CSAM으로 재차 걸러내지 못했다는 점은, 탐지 기술의 문제라기보다 집행의 일관성 문제에 가깝다.
메타는 대부분의 광고가 도달 범위가 미미했고 다수는 WIRED 제보 전에 이미 비활성화됐다고 해명했다. 또한 문제 광고 상당수가 최근 도입한 업로드 단계 탐지·차단 AI 기술 이전에 게재된 것이라고 밝혔다. 그러나 TTP 연구진은 처음 20여 건을 발견한 뒤 보도 직전 30건가량을 추가로 찾아냈고, 이 중 다수는 WIRED가 메타에 문의한 이후에 게재되어 발견 시점에도 실제로 노출되고 있었다. 새 AI 방어 기술을 우회한 광고가 존재했다는 뜻이다. 도달 범위 역시 유럽에서만 2,563개 계정에 노출된 사례가 있으며, 메타의 라이브러리가 미국 등 일부 지역의 성과 데이터를 제공하지 않아 실제 규모는 더 클 수 있다.
공급망은 중국계 리셀러와 앱스토어로 이어진다
실무적으로 주목할 지점은 이 광고들의 배후 구조다. 광고는 대체로 팔로워가 없거나 극소수인 메타 계정에서 게시됐고, 광고주가 공개된 경우 중국 기업과 연결돼 있었다. 한 사례에서는 광고주가 메타의 중국 광고 리셀러였던 '미트 소셜(Meet Social)'로 표시됐다. 여러 광고는 애플 앱스토어에 올라와 있던 'MaskAI'라는 앱으로 연결됐는데, 이 앱은 다운로드 전에는 노출 콘텐츠를 보여주지 않다가 실행 후에는 AI 생성 음란물과 얼굴 합성 기능만을 제공했다. 애플은 WIRED 문의 후 이 앱을 삭제했다. 심사 회피 콘텐츠가 광고 플랫폼과 앱 마켓 양쪽의 사전 검토를 동시에 통과한 셈이다.
이 문제는 단발성 사고가 아니라 반복되는 패턴에 가깝다. 7월 초 BBC 조사에서는 인스타그램이 인도에서 아동 성착취물 판매를 홍보하는 광고를 집행한 사실이 드러났고, 광고는 텔레그램 채널로 연결됐다. 구글 출신 신뢰·안전 전문가인 알렉시오스 만차를리스는 최근 수년간 메타 플랫폼에서 2만 5,000건 이상의 AI 누디파이 광고를 찾아 신고했다고 밝혔다. 그는 공격자들이 스캠 네트워크와 동일한 수법으로 새 광고주 계정과 도메인을 끊임없이 만들어내며, 플랫폼의 소극적 집행 탓에 이미지 기반 성착취 산업이 온라인 생태계의 상시적 고정물이 됐다고 평가했다.
한국 IT 실무자에게 이 사례가 시사하는 바는 분명하다. 자동화된 광고 심사와 앱 마켓 검수가 규모를 감당하기 위해 필수적이지만, 다운로드 전후로 콘텐츠를 바꾸거나 썸네일과 재생 영상을 분리하는 회피 기법 앞에서는 사전 심사만으로 부족하다. 동일 위반 콘텐츠의 재게재를 막는 해시·핑거프린트 기반 차단, 광고주 계정의 반복 생성을 추적하는 신원 검증, 그리고 광고가 종료된 뒤에도 라이브러리에서 위반 신고가 가능하도록 하는 창구 마련 등 집행의 지속성이 관건이다. 메타는 지난해 3,600만 건 이상의 아동 성착취 콘텐츠를 삭제하고 누디파이 앱 개발사를 상대로 법적 조치를 취했다고 밝혔지만, 광고라는 승인된 경로에서 같은 문제가 반복되는 한 삭제 건수만으로 신뢰를 회복하기는 어렵다.