애플·구글 앱장터서 부모 통제 켠 13세 계정이 누디파이 앱 135개 내려받았다

미국에서 13세 청소년 계정으로도 사진 속 인물의 옷을 벗기는 이른바 ‘누디파이(nudify)’ 앱을 어렵지 않게 내려받을 수 있다는 조사 결과가 나왔다. 디지털 옹호 단체 테크 트랜스패런시 프로젝트(Tech Transparency Project, TTP)가 월요일 공개한 보고서의 내용이다. 시험 계정은 부모 통제를 켠 상태에서도 애플 앱스토어와 구글 플레이스토어에서 이런 앱 135개에 접근할 수 있었다. 가디언(Guardian)에 먼저 공유된 이 보고서는 학교 현장의 딥페이크 피해가 이어지는 가운데 두 회사의 연령 제한이 제대로 작동하는지 묻고 있다.

딸의 얼굴로 만든 음란 영상…펜실베이니아 학부모의 증언

2025년 12월 모건 도프먼(Morgan Dorfman)은 충격적인 소식을 들었다. 딸이 다니는 펜실베이니아 고등학교의 한 학생이 딸의 사진으로 AI 음란물을 만들고 있다는 내용이었다. 그 학생은 ‘모블리(Movely)’라는 AI 이미지 편집 앱으로 도프먼의 딸을 포함한 여학생 6명의 사진을 성적인 영상으로 바꿨다.

도프먼은 이런 일이 얼마든지 가능하다는 사실을 몰랐다고 말했다. “딥페이크라면 테일러 스위프트 같은 유명인의 이미지를 쓰는 것이라고만 생각했다”며 “누구의 사진이든 스크린샷이든 이렇게 만들 수 있다는 것은 몰랐다”고 했다. 피해 학생들은 “모두 매우 겁에 질렸고 다음에 무엇을 해야 할지 혼란스러워했다”고 한다.

네 아이의 엄마인 도프먼은 이후 몇 주 동안 앱의 작동 방식을 파악하고 다른 학부모를 교육할 자료를 모았다. 직접 앱을 내려받자 곧바로 아무 이미지로나 선정적인 영상을 만들어 보라는 안내가 떴다. 무료 버전에는 ‘옷 폭발’, ‘브래지어 풀기’, ‘속옷 내리기’ 같은 이름의 템플릿이 올라 있었다. 가디언이 확인한 도프먼의 학부모용 시연 자료에 따른 내용이다. 유료 버전은 수위가 더 높았고, 딸이 등장했다고 같은 반 학생이 전한 음란물 상황과 같은 유형의 템플릿이 있었다고 한다.

가디언에 따르면 이런 사례는 예외가 아니다. 미국 전역의 고등학교에서 비슷한 신고가 나오고 있다. 각국 정부는 이런 AI 플랫폼을 앱 장터에서 금지하는 쪽으로 움직였고 미국 대부분의 주는 AI가 생성한 아동 성착취물 소지를 처벌하는 법을 도입했다. 그런데도 누디파이 앱은 계속 늘고 있고 청소년이 접근할 수 있는 상태라는 것이 TTP의 지적이다.

13세 소년 계정 4개로 시험했더니…135개 앱 내려받았다

TTP는 미국에 사는 13세 소년이라는 같은 조건으로 시험 계정 4개를 만들었다. 애플 계정 2개와 구글 계정 2개다. 두 회사 모두 한 계정은 기본 설정 그대로 두고, 다른 한 계정에는 부모 통제를 켰다. 부모 통제는 13세에 적합한 등급의 앱만 내려받게 하고 모든 다운로드와 인앱 결제를 부모 계정이 승인하도록 설정했다.

각 계정은 ‘nudify’, ‘undress’, ‘deepnude’, ‘AI NSFW’, ‘face swap’, ‘AI video generator’, ‘adult AI’ 등 누디파이 관련 검색어로 앱스토어를 뒤졌다. 보고서가 제시한 검색어는 모두 14개다. 그 결과 확인된 앱은 135개였다. 사진 속 인물의 옷을 벗기거나 얼굴을 나체 위에 합성하고 노골적인 AI 영상으로 만들 수 있는 앱들이다. 연구진은 실험에서 실제 여성의 사진이 아닌 AI로 생성한 이미지 속 여성을 대상으로 옷 벗기기 기능을 시험했다.

앱 규모도 작지 않았다. 모바일 분석 업체 앱매직(AppMagic) 자료를 인용한 TTP에 따르면 이 135개 앱의 누적 다운로드는 55억 회이고 전 세계 매출은 39억 달러(약 5조 2,000억 원, 1달러 1,335원 기준)다. 두 회사는 시험 계정에 누디파이 앱 광고도 노출했다.

더 눈에 띄는 대목은 앱이 장터에서 내려간 뒤에도 쓸 수 있었다는 점이다. TTP는 애플과 구글이 누디파이 앱을 앱 장터에서 삭제한 경우에도 해당 앱이 청소년 시험 폰에서는 계속 작동했다고 밝혔다.

연령 등급은 개발사 자진신고…부모 통제도 소용없었다

TTP는 원인으로 앱 연령 등급을 정하는 방식을 꼽았다. 애플과 구글 모두 개발사가 직접 적은 앱 설명을 근거로 등급을 매긴다. 사실상 자진신고 체계다. 성적 콘텐츠가 있는 앱이 청소년에게 적합하다고 잘못 분류되기 쉽고, 이렇게 부정확한 등급 때문에 아무리 꼼꼼한 부모라도 자녀가 부적절한 앱을 쓰는 것을 모를 수 있다는 지적이다. 보고서는 “확인된 누디파이 앱 상당수가 미성년자에게 적합하다고 부정확하게 분류돼 부모 통제를 켜도 접근이 가능했다”고 밝혔다.

사례는 구체적이다. 한 얼굴 바꾸기 앱은 여성이 성행위를 하는 이미지로 연구진에게 광고됐는데도 4세 이상 이용가로 분류돼 있었다. 무료 버전에서는 실제 여성의 얼굴을 속옷 차림 여성 템플릿에 합성하도록 유도했고, 결제하면 음란한 상황 템플릿이 열렸다. 연구진은 13세 계정으로 이 앱의 구독을 결제했지만 연결된 부모 계정에는 알림이 가지 않았다.

‘이미지 투 비디오 메이커-비도우 AI’는 9세 이상 이용가였다. TTP에 따르면 앱을 열면 버스 안에서 상의를 벗은 여성의 이미지가 첫 화면에 나왔다.

부모 통제를 켠 계정이라고 해서 달라지지 않았다. 이 계정들은 13세 등급 앱만 내려받고 그마저도 부모 승인을 거치도록 설정돼 있었다. 하지만 연구진은 애플과 구글 어느 쪽도 누디파이 앱을 받을 때 부모의 승인을 요구하거나 권하지 않았다고 밝혔다. 계정을 만드는 과정에서도 두 회사는 부모 통제 사용을 요구하거나 권유하지 않았다. TTP는 두 회사가 부모가 직접 찾아서 설정을 켜기를 전적으로 기대하는 것처럼 보인다고 평가했다.

애플·구글의 해명과 남은 과제

애플은 TTP가 논평을 요청한 지 사흘 뒤 누디파이 앱 단속을 위한 정책 변경을 발표했다. 앱 심사 지침에 ‘동의 없는 성적 이미지’를 생성하는 앱을 금지하는 문구를 넣었다. 유료 결제 뒤에 딥페이크 기능을 숨기는 앱을 겨냥해 ‘숨겨진·휴면·문서화되지 않은 기능’을 가진 앱에 대한 규정도 강화했다. 개발사가 AI 생성 이미지를 포함한 동의 없는 성적 이미지를 사전에 막고 삭제하도록 요구한다고 애플은 밝혔다.

애플은 모든 앱을 게시 전에 심사하고, 개발사가 기능을 허위로 알리면 앱과 개발사를 제거한다고 설명했다. 보고서가 공유되기 전에 이미 삭제한 앱 외에 나머지 앱에도 ‘조치’를 했다고도 했다. 애플 대변인 애덤 데마는 “보고서에 나온 앱 가운데 상당수는 정당하게 널리 쓰이는 일반 사진·영상 편집 도구이며 누디파이나 딥페이크 기능이 없다”고 말했다. 이어 “앱스토어에서 누디파이 앱을 금지하며, 앱 심사를 통과한 뒤 이런 기능을 추가하는 개발사는 퇴출한다”고 덧붙였다. 이런 수법을 ‘미끼 상술’이라고 부른다.

구글은 성적 콘텐츠를 담았거나 이용자가 사람 이미지를 누디파이하도록 허용하는 앱을 허용하지 않는다는 입장이다. 대변인 댄 잭슨은 “위반이 감지되거나 신고되면 조사해 신속히 조치하며, 건에서는 위반 앱을 정지하고 스토어의 관련 검색어를 제한했다”고 밝혔다. 평소에도 유해 콘텐츠가 담긴 앱을 선제적으로 찾아 삭제한다는 설명이다.

TTP는 이번 조사를 올해 앱 장터의 누디파이 앱을 다룬 두 차례 조사에 이은 세 번째 조사라고 밝혔다. 보고서가 나온 시점은 연방 의원과 주 의회가 앱 장터에 연령 확인과 온라인 아동 안전의 책임을 더 지우려는 논의를 하는 때와 겹친다. TTP는 보고서에 담긴 모든 앱 개발사에 연락해 답변을 반영했다. 다만 ‘아모리’와 ‘알터 미’ 두 앱에 보낸 이메일은 수신 불가로 반송됐다.