Georgia 투표 비밀성 결함, AI와 결합해 중간선거 전 프라이버시 위험 노출

Georgia는 알려진 투표 프라이버시 취약점을 거의 4년간 패치하지 않았고, 이제 AI 코딩 에이전트가 이를 악용하기 훨씬 쉽게 만들었다. Georgia의 투표 비밀성 결함은 표를 바꾸거나 발표된 결과를 훼손하지 않는다. 대신, 누구도 개인이 어떻게 투표했는지 알아낼 수 없다는 헌법적 약속을 위협한다.

Princeton 연구자 Max Springer는 공개 기록과 누구나 사용할 수 있는 AI 보조 도구를 활용해 Georgia의 2026년 5월 예비선거 투표지 순서를 재구성했다. 그의 분석은 조사한 카운티의 대면 투표지 가운데 98.9%에 해당하는 약 152만 장의 투표지에 대해 투표 접수 순서를 복원했다. Associated Press는 독립적으로 보도했다 Springer의 조사 결과를 전하며, 해결되지 않은 취약점에 대해 선거 관리 당국자와 보안 전문가들을 인터뷰했다.

불편한 역설은 분명하다. Georgia는 대중이 선거 결과를 검토할 수 있도록 투표지 단위 데이터를 공개하지만, 오래된 스캐너 소프트웨어는 이러한 투명성이 유권자 프라이버시를 해치는 방식으로 작동하게 할 수 있다. AI가 결함을 발견한 것은 아니다. 오래된 기술 논문을 실제 분석으로 전환하는 데 필요한 전문성과 시간을 줄였을 뿐이다.

이 구분은 11월 중간선거를 앞두고 중요하다. 이 시연은 투표 조작이 아니라 투표 비밀성과 관련되며, 누군가 이 방법을 악의적으로 사용했다는 증거는 없다. 그러나 실제 악용이 입증될 때까지 기다린다면, 주 정부는 근본적인 기술 장벽이 이미 무너진 뒤에야 프라이버시 약속을 방어하게 될 것이다.

Georgia의 투표 비밀성 결함은 이미 문서화돼 있었다

즉각적인 변화는 새로 발견된 소프트웨어 버그가 아니다. 기존 취약점이 훨씬 더 많은 사람이 접근할 수 있게 됐다는 증거다.

Georgia 유권자들은 터치스크린 투표지 표시 장치에서 선택을 한다. 각 장치는 사람이 읽을 수 있는 선택 내용과 QR 코드를 담은 종이 투표지를 출력한다. 유권자는 이 투표지를 광학 스캐너에 넣고, 스캐너는 선택 내용을 기록해 전자 투표 기록을 생성한다.

일반적으로 CVR로 줄여 부르는 전자 투표 기록은 유권자 이름을 연결하지 않은 채 한 장의 투표지에서 기록된 선택 내용을 담는다. 선거 관리자와 외부 분석가는 이 기록을 이용해 투표지 단위에서 결과를 검토할 수 있다.

스캐너는 디지털 투표지 이미지도 생성한다. 익명성을 보호하기 위해 이에 대응하는 전자 기록은 유권자가 투표지를 넣은 순서가 아니라 뒤섞인 순서로 표시된다.

연구자들은 2022년 10월 이 과정의 문제를 공개했다. 스캐너는 결정론적 알고리즘으로 식별자를 부여했는데, 이는 고정된 절차가 무작위처럼 보이는 결과를 만들지만 역으로 추적할 수 있음을 의미한다. 이들의 기술 공개 자료는 분석가가 원래의 스캔 순서를 복원할 수 있는 방법을 설명했다.

순서만으로 유권자를 식별할 수는 없다. 하지만 누가 투표했는지, 어디서 투표했는지, 대략 언제 체크인했는지를 보여주는 별도 기록과 결합되면 민감한 정보가 된다.

Springer는 Georgia의 2026년 5월 예비선거를 대상으로 이 결합을 시험했다. 그의 투표 프라이버시 분석에 따르면, 그는 코딩 에이전트에 원래 연구를 제공하고 이 취약점이 Georgia에서 여전히 활용 가능한지 물었다.

코딩 에이전트는 명시된 목표를 달성하기 위해 컴퓨터 코드를 작성, 실행, 검사, 수정할 수 있는 대규모 언어 모델이다. 단순히 코드를 제안하는 데 그치지 않고 오류를 해결하며 작동하는 분석 파이프라인을 구성할 수 있다.

Springer는 에이전트가 투표 기록의 섞인 순서를 되돌리고 어떤 추가 공개 파일이 필요한지 식별했다고 말했다. 해당 파일에는 사전투표자 명단, 스캐너 감사 로그, 장소별 체크인 기록이 포함됐다.

이 실험에는 투표 기기, 비공개 네트워크, 독점 소스 코드 또는 제한된 데이터베이스에 접근할 필요가 없었다. 합법적인 선거 관리와 공적 감독을 위해 존재하는 기록을 사용했다.

이러한 조합 때문에 이 사례를 가상의 선거 해킹에 관한 익숙한 경고로 축소할 수 없다. 분석 대상은 투표가 진행되는 동안의 기기가 아니라 투표 후 공개된 데이터였다. 결과물 역시 개표 결과의 변경이 아니라 유권자 신원과 투표 선택에 관한 것이었다.

이 취약점은 현재의 생성형 AI 시스템보다도 앞선다. 원래 연구자들은 이미 복원 방법을 설명했다. AI는 실제 선거 데이터 전반에 이를 적용하는 데 필요한 전문 인력의 양을 바꿨다.

보안 관점에서 이는 악용 가능성의 중대한 변화다. 과거에는 선거 데이터 형식에 익숙한 프로그래머가 필요했던 결함이 이제는 자연어 지시와 반복적인 코드 생성을 통해 접근 가능한 문제가 될 수 있다.

Georgia가 유권자와 투표지를 직접 연결한 목록을 공개했다는 비난을 받는 것은 아니다. 각각의 공개 파일은 따로 보면 위험성이 낮아 보인다. 프라이버시 침해는 예측 가능한 스캐너 식별자가 별도 데이터세트를 결합할 수 있게 만들 때 발생한다.

이것이 이 기사의 핵심적 긴장이다. 공개 선거 증거는 개인의 정치적 선택을 드러내지 않으면서 집계 결과의 신뢰성을 높여야 한다. Georgia의 현재 구성은 두 가지 보호를 동시에 제공하는 데 어려움을 겪고 있다.

AI 투표지 매칭, 공개 기록을 식별 정보로 전환하다

AI는 취약점에 대해 읽는 것과 100만 장이 넘는 실제 투표지에 적용하는 것 사이의 실질적 장벽을 낮췄다.

Springer는 Georgia의 139개 카운티 데이터를 분석했다. 그는 이 중 114개 카운티에서 대면 투표 접수 순서를 복원했으며, 약 152만 장의 투표지를 포괄한다고 보고했다.

첫 단계는 투표지와 유권자를 일치하는 그룹으로 배치하는 것이었다. 같은 정당의 동일 선거구 유권자 세 명이 같은 사전투표 기간에 체크인했다고 가정해 보자. 기록은 이들의 선택지를 대응하는 세 장의 투표지로 좁힐 수 있지만, 누가 어느 투표지를 행사했는지를 증명하지는 못한다.

그룹이 작을수록 확실성은 커진다. 특정 정당, 선거구, 투표지 유형, 날짜에 대해 한 명의 유권자만 하나의 복원된 기록에 부합한다면, 공개 데이터는 강제 매칭을 만들어낼 수 있다.

Springer는 분석한 사전 대면투표 유권자 가운데 약 1%가 사전투표자 명단과 전자 투표 기록만으로 고유하게 식별될 수 있다고 추정했다. 이 비율은 98.9%의 투표 접수 순서 복원 수치보다 훨씬 좁으며, 두 수치를 혼동해서는 안 된다.

순서를 복원한다는 것은 전자 투표 기록의 순서를 결정한다는 뜻이다. 투표지를 식별한다는 것은 이 기록 중 하나를 실명 개인과 연결한다는 뜻이다. 두 번째 작업에는 추가적인 시간, 장소 또는 순서 증거가 필요하다.

Springer는 이후 개별 투표 장소의 스캐너 감사 로그와 체크인 기록을 확보했다. 이 기록은 더 정밀한 시간 및 순서 정보를 제공해, 처음에는 같은 그룹으로 보였던 유권자들을 분리할 수 있게 했다.

Heard County에서 그는 사전 대면투표 유권자 650명 중 대부분을 특정 투표지와 매칭했다고 보고했다. 나머지 유권자도 일반적으로 두 개의 가능한 투표지 사이에서 한 번의 교환으로 좁힐 수 있었다.

그는 Cherokee County의 Ball Ground 투표센터에서 사전투표한 유권자 1,860명 전반에서도 유사한 결과를 보고했다. 이처럼 붐비는 장소는 매칭이 유난히 한산한 농촌 선거구에서만 가능하다는 가정에 도전한다는 점에서 중요하다.

이 방법에는 여전히 불확실성이 있다. 먼저 체크인한 유권자가 반드시 먼저 투표지를 스캔하는 것은 아니다. 사람마다 투표하고, 출력물을 검토하고, 지원을 요청하는 데 걸리는 시간이 다르다. 따라서 체크인 순서를 자동으로 투표지 순서로 간주할 수는 없다.

Springer의 더 강한 매칭은 단순한 한 줄씩의 비교 이상에 의존했다. 되돌릴 수 있는 스캐너 순서를 투표지 유형, 정당 참여, 날짜, 투표 장소, 더 상세한 감사 기록과 결합했다.

그럼에도 공개된 작업은 모든 매칭을 주 전역에서 판정한 결과가 아니라 연구자의 시연이다. 독립적인 재현은 혼잡한 장소와 이례적인 투표 패턴 전반에서 오매칭을 측정하는 데 도움이 될 것이다.

Georgia 선거 관리 당국자 Gabriel Sterling은 이러한 불확실성을 강조했다. 그는 특히 여러 사람이 같은 시간대에 부합할 때 유권자를 특정 투표지와 연결하는 데는 여전히 상당한 추측이 수반될 수 있다고 주장했다.

이 비판은 주장의 범위를 좁히지만 취약점을 없애지는 않는다. 프라이버시 시스템은 충분히 많은 유권자가 충분히 혼란스러운 순서로 장소를 통과하는 데 의존해서는 안 된다. 설계 단계에서 신뢰할 수 있는 연결을 막아야 한다.

Georgia의 투표 비밀성 결함은 외부 관찰이 공식 기록을 보완할 때 특히 심각해진다. 참관인, 카메라, 고용주, 선거운동 관계자 또는 지인은 특정 인물이 언제 들어오거나 투표지를 넣었는지 알 수 있다.

소규모 공동체는 또 다른 정보원을 만들 수 있다. 주민들이 서로 알고 특정 정당의 투표지를 요청하는 사람이 몇 명뿐인 경우, 겉보기에는 익명인 기록도 개인을 드러낼 수 있다.

AI 투표지 매칭은 수작업 조사와는 다른 방식으로 확장된다. 분석가는 에이전트에게 일관되지 않은 카운티 파일을 정규화하고, 파서를 작성하고, 가정을 검증하며, 많은 관할구역에서 과정을 반복하도록 요청할 수 있다.

모델이 정치적 판단을 하는 것은 아니다. 과거에는 상당한 프로그래밍 시간이 필요했던 데이터 작업을 자동화하는 것이다. 이는 이미 공개된 공격 방법을 재현, 수정, 배포하기 더 쉽게 만든다.

이것이 더 폭넓은 AI 보안 교훈이다. 방어자는 기술 논문이 익숙하지 않은 형식이나 지루한 코딩을 요구한다는 이유만으로 여전히 비현실적이라고 가정할 수 없다. 에이전트는 점점 더 공개 문서를 작동하는 소프트웨어로 전환할 수 있다.

투명성과 비밀 투표가 이제 직접 충돌한다

Georgia는 공개 검증을 뒷받침하는 증거를 보존하면서도, 유권자의 정치적 정체성과 재결합될 수 있는 기록은 공개하지 않아야 한다.

투표지 단위 기록은 정당한 민주적 목적에 기여한다. 연구자, 선거운동 조직, 언론인, 시민은 이를 활용해 집계를 검증하고, 이상 징후를 연구하며, 전자 결과를 종이 투표지와 비교할 수 있다.

Georgia는 이러한 투명성을 적극적으로 홍보해 왔다. 5월 19일 예비선거 이후 주 국무장관실은 포괄적인 이미지 감사에서 2,081,900장의 투표지 카드를 분석했다.

주 정부는 불일치가 159건이었고, 카드의 99.9924%에서는 불일치가 발견되지 않았다고 보고했다. 주 정부의 예비선거 감사 결과에 따르면, 감사는 검토된 1,785개 모든 경선의 결과를 확인했다.

이 수치는 집계 정확성을 다룬다. 누군가 정확한 투표 기록을 개별 유권자와 연결할 수 있는지에는 답하지 않는다.

이 차이는 핵심적이다. 선거 무결성에는 각 선택을 정확히 기록하고, 신뢰할 수 있는 증거를 보존하며, 그 증거를 정확히 집계하고, 유권자의 신원을 보호하는 일이 포함된다.

시스템은 앞의 세 가지 기준에서는 잘 작동하면서 네 번째 기준에서는 실패할 수 있다. 따라서 정확한 집계의 증거는 입증된 프라이버시 취약점에 대한 반박이 되지 않는다.

마찬가지로 투표 프라이버시 결함이 기기가 표를 바꾸거나, 투표지를 삭제하거나, 잘못된 당선자를 만들어냈다는 증거는 아니다. Georgia의 2020년 결과는 재검표와 조사에서 유지됐으며, 광범위한 기기 부정에 관한 허위 주장은 이를 뒷받침하는 증거를 반복해서 제시하지 못했다.

두 문제를 혼동하면 시정 조치의 근거가 약해질 수 있다. 선거 관리 당국은 조작된 결과에 관한 무관한 주장을 인정하지 않으면서도 실질적인 기밀성 문제를 인정할 수 있다.

Associated Press가 관련 법률을 검토하며 지적했듯이, 조지아주 헌법은 비밀투표에 의한 선거를 요구하며, 주법은 누구도 다른 유권자의 선택을 알 수 없도록 투표 장비가 “absolute secrecy” 속에서 투표할 수 있게 해야 한다고 규정한다.

비밀투표는 개인적 편안함 이상의 가치를 보호한다. 매수자는 이행 여부를 쉽게 확인할 수 없기 때문에 금품 매수를 제한한다. 또한 고용주, 친척, 정치 단체, 정부 공무원, 학대적 관계의 파트너로부터 받는 압박으로부터도 사람들을 보호한다.

기술적으로 복구 가능한 투표지는 영수증과 유사한 위험을 만든다. 실제로 재구성을 시도하는 사람이 적더라도, 그 가능성 자체가 보복이나 강압을 합리적으로 우려하는 유권자에게 영향을 줄 수 있다.

정치 캠페인 역시 개별 유권자의 선택에 가치를 둘 수 있다. 현대의 캠페인 데이터베이스는 이미 인구통계, 투표 이력, 소비자 정보, 연락처 기록을 활용해 선호를 예측한다. 재구성된 투표지는 추정 확률이 아니라 직접적인 증거를 제공한다.

Sterling은 캠페인이 이 취약점을 악용하는 것보다 일반적인 유권자 프로파일링과 접촉 활동이 더 저렴할 가능성이 높다고 주장했다. 그는 강압을 시도하는 사람이라면 우편투표가 더 쉬운 표적일 수 있다고도 지적했다.

그 대응은 공격자의 유인을 다룰 뿐, 주 정부의 개인정보 보호 의무를 다루지는 않는다. 비밀투표 보장은 이를 위반하는 것이 가장 경제적인 캠페인 전략인지 여부에 따라 달라지는 것이 아니다.

따라서 이 이야기의 핵심 대립은 AI와 선거 관리 인력의 대립이 아니다. 세분화된 공개 데이터를 통한 투명성과 결정론적 식별자 및 상관 로그로 약화된 비밀성의 충돌이다.

모든 공개 투표지 데이터를 없애는 것은 잘못된 방향으로 이 갈등을 해결하는 일이다. 독립적 검증은 의미 있는 기록에 접근할 수 있어야 가능하다. 더 나은 해법은 감사 가능성을 유지하면서 투표 순서를 드러내는 기술적 연결 고리를 끊는 것이다.

보도에 따르면 다른 관할구역도 영향을 받는 스캐너를 사용하지만, 노출 양상은 다르다. 일부는 제조업체의 소프트웨어 업데이트를 설치했다. 다른 곳은 공격자가 유권자 매칭에 필요로 하는 기록에 대한 접근을 제한한다.

조지아주는 유난히 민감한 조합을 보인다. 장비가 주 전역에서 운용되고, 관련 기록은 공개적으로 요청할 수 있으며, 주 정부는 2026년 선거 주기 전에 업데이트를 배포하지 않았다.

이 조합 때문에 초당파 선거기술 단체 Verified Voting의 정책·전략 책임자 Mark Lindeman은 Associated Press에 조지아주의 상황을 “perfect storm”이라고 표현했다. 지속되는 가능성이 창피하다는 그의 비판은 AI에 관한 또 하나의 추상적 경고보다 제도적 실패를 더 직접적으로 포착한다.

조지아주의 투표 장비 수정은 손쉬운 배포에는 너무 늦게 도착했다

명백한 소프트웨어 대응은 인증, 예산, 권한, 그리고 11월 직전 주 전역 선거 시스템을 변경하는 운영상 위험과 충돌했다.

이후 선거 사업이 매각되고 Liberty Vote로 개명된 Dominion Voting Systems는 되돌릴 수 있는 기록 순서를 해결하는 업데이트를 개발했다. Liberty Vote의 공식 회사 자료는 이 회사가 Dominion 인수를 통해 설립됐음을 확인한다. 영향을 받은 스캐너의 다른 많은 사용자들은 이 업데이트를 설치한 것으로 보도됐다.

조지아주는 2019년 시스템을 구매한 뒤 관련 주 전역 업데이트를 배포하지 않았다. 2026년에 이르러 주 정부는 2022년에 문서화된 동일한 개인정보 보호 취약점을 안고 또 다른 주목도 높은 선거에 다가가고 있었다.

주 선거관리위원회 위원 Salleigh Grubbs는 중간선거 전에 주 국무장관실이 제조업체 업데이트를 적용하도록 요구하는 방안을 제안했다. 그는 투표지 비밀성이 개별 유권자와 선거의 무결성을 모두 보호한다고 주장했다.

한 기관 변호사는 조지아주가 해당 업데이트를 인증하지 않았고, 구현에는 수개월이 필요하며, 의회도 필요한 예산을 제공하지 않았다고 답했다. 위원회는 Grubbs의 제안을 부결했다.

일부 위원들은 위원회가 국무장관에게 업그레이드를 실시하도록 명령할 권한이 있는지도 의문을 제기했다. 이러한 우려는 위원회의 규칙 제정 권한의 법적 한계를 둘러싼 이전 분쟁에 뒤따른 것이었다.

위원회 위원 Sara Tindall Ghazal은 업데이트가 없다는 사실이 극도로 답답하다고 설명하면서도 제안에 반대표를 던졌다. 그는 타인의 투표 내용을 공개하는 행위에 대한 조지아주의 형사 처벌이 억지력이 된다고 지적했다.

형사 처벌은 위법행위 이후에는 중요하다. 그러나 기술적으로 연결 가능한 투표지를 익명으로 만들거나, 은밀한 프로파일링을 막거나, 유출된 결과를 회수할 수 있다고 보장할 수는 없다.

성급한 업데이트 역시 실질적 위험을 수반한다. 선거 소프트웨어에는 인증, 설치, 장비 테스트, 투표소 직원 준비, 비상계획, 그리고 카운티 전반의 일관된 배포가 필요하다.

주요 선거 직전에 주 전역 투표 환경을 바꾸면 구성 오류나 일관되지 않은 절차가 발생할 수 있다. 투표권 옹호 단체들은 늦은 변경이 직원과 유권자를 혼란스럽게 할 수 있다고 이전부터 경고해 왔다.

이것이 운영상의 절충점이지, 수년간의 지연을 정당화하는 변명은 아니다. 알려진 취약점이 더 이르고 안전한 구현 시기를 지나도록 해결되지 않았기 때문에 관리 당국은 2026년에 위험한 일정에 직면했다.

주 정부는 행정적 대응을 시도했다. 보도된 주 정부 대응에 따르면, 국무장관실은 지역 관리들에게 Springer의 매칭 과정에 활용된 공개 데이터 일부를 삭제하라고 지시했다.

민감한 시간 정보나 순서 기록에 대한 접근을 제한하면 즉각적인 노출을 줄일 수 있다. 또한 새 스캐너 소프트웨어를 주 전역에 설치하는 것보다 더 빠를 수 있다.

그러나 기록 비공개화에는 신중한 설계가 필요하다. 정보를 너무 많이 제거하면 선거 감시가 어려워질 수 있고, 카운티별 이행이 일관되지 않으면 일부 지역에는 악용 가능한 데이터가 남을 수 있다.

이 접근법은 온라인에 게시된 파일뿐 아니라 공식적인 공개 요청을 통해 확보되는 기록도 고려해야 한다. 웹 다운로드를 삭제한다고 해서 주법에 따라 기관이 공개해야 하는 정보가 반드시 바뀌는 것은 아니다.

지속 가능한 해결책은 의미 있는 공개 감사를 위해 필요한 최소 데이터를 식별해야 한다. 이어서 명시된 유권자 활동과 기록을 결합할 수 있는 필드를 제거하거나 변환해야 한다.

가능한 보호조치로는 암호학적으로 안전한 무작위 식별자, 공개 지연, 민감한 타임스탬프의 집계, 투표자 명부와 스캐너 기록의 엄격한 분리가 있다. 어떤 방안이든 현실적인 연결 공격에 대한 독립적 테스트가 필요하다.

조지아주는 미래의 AI 도구가 Springer가 사용한 에이전트보다 더 강력해질 것이라고도 가정해야 한다. 오늘날의 매칭 과정이 불편하다는 이유만으로 안전한 정책은 빠르게 낡게 된다.

투표 장비 결함은 더 광범위한 유지관리 문제를 보여준다. 공공기관은 흔히 취약점이 이미 문서화된 피해를 일으켰는지에 따라 패치를 평가한다. AI는 오래된 약점을 실행 가능한 방식으로 악용하는 비용을 낮춤으로써 이 계산을 바꾼다.

패치 우선순위는 공개된 날짜만이 아니라 현재의 악용 용이성을 반영해야 한다. 과거에는 전문성이 제약했던 부분을 자동화가 없애면, 4년 된 약점도 더 시급해질 수 있다.

개인정보 보호 위험은 심각하지만, 가장 강한 주장은 검증이 필요하다

증거는 조지아주의 득표 합계가 훼손됐거나 모든 유권자가 확실히 식별됐다는 주장을 뒷받침하지 않으면서도 긴급한 개인정보 보호 대응을 뒷받침한다.

Springer의 실험은 몇 가지 중요한 사실을 입증한다. 공개된 스캐너 셔플은 되돌릴 수 있다. AI는 그 역산을 구현하는 데 도움을 줄 수 있다. 조지아주의 공개 데이터는 상당한 수준의 투표 순서 복구를 가능하게 하며, 추가 기록은 매우 구체적인 유권자-투표지 매칭을 만들어낼 수 있다.

이 실험은 악의적인 주체가 이미 주 전역의 유권자 선택 데이터베이스를 만들었다는 사실을 입증하지는 않는다. Springer는 누군가 이 약점을 악의적 목적으로 사용했다는 증거는 없다고 말했다.

또한 AI가 투표 시스템에 접근했다는 점도 보여주지 않는다. 이 모델은 선거 기록이 생성된 뒤 이를 처리했다. 이 시연을 투표기에 대한 AI 공격이라고 부르는 것은 작동 방식을 잘못 설명하는 일이다.

98.9%라는 수치도 마찬가지로 신중하게 다뤄야 한다. 이는 Springer가 분석한 카운티에서 투표 순서를 복구한 투표지를 설명한다. 그가 투표지의 98.9% 뒤에 있는 유권자를 결정적으로 실명 확인했다는 뜻은 아니다.

그의 더 상세한 카운티 사례는 훨씬 강한 연결 가능성을 보여줬다. 그러나 실제 유권자-투표지 매핑은 보호해야 할 비밀이므로 의도적으로 공개되지 않으며, 따라서 각 매칭의 정확성을 검증하기는 여전히 어렵다.

이 검증 공백은 개인정보 보호 연구에 내재한다. 비밀 시스템은 보호해야 할 비밀을 침해하지 않고는 편리하게 정답 데이터를 제공할 수 없다.

연구자들은 통제된 선거, 합성 기록, 알려진 테스트 유권자, 통계적 오차 범위, 독립적 재현을 통해 여전히 방법을 평가할 수 있다. 이러한 테스트는 체크인과 스캔 사이의 지연, 투표지 포기, 지원 투표, 기기 변경, 예상 순서에서 벗어나는 유권자를 검토해야 한다.

관리 당국도 외부 전문가가 완화 조치를 평가할 수 있도록 충분한 방법론을 공개해야 한다. 매칭에 “guessing”이 수반된다고 말하는 것은 측정 가능한 보안 기준이 아니다.

적절한 질문은 특정 유권자를 표적으로 삼는 공격자에게 얼마나 많은 불확실성이 남는가이다. 모든 사람을 식별하지 못하더라도, 이 기술은 정치인, 판사, 공무원, 활동가, 또는 소규모 공동체 주민을 위협할 수 있다.

표적 공격자는 공개 데이터셋에서 얻을 수 없는 관찰 정보를 이미 갖고 있을 수 있다. 직장 일정, 위치 영상, 캠페인 자원봉사자, 소셜 게시물, 직접 감시는 매칭 후보를 좁힐 수 있다.

법적 억지력도 현실적인 적대자를 상대로 검증할 가치가 있다. 해외 행위자, 익명의 데이터 브로커, 데이터셋 유출을 감수하는 사람들은 지역 관리들이 기대하는 방식으로 주 형사 처벌에 반응하지 않을 수 있다.

동시에 공개 논의는 선거 음모론을 부추기지 않도록 해야 한다. 이 취약점은 개인정보 보호에 영향을 미치는 반면, 조지아주의 감사는 종이 증거와 보고된 득표 합계가 일치하는지를 다룬다.

주 정부는 5월 감사에서 투표지 표시 장치로 생성된 2,038,067장의 투표지 가운데 불일치가 16건만 발견됐다고 밝혔다. 그 감사의 한계가 무엇이든, 이 수치는 신원 보호가 아니라 집계 정확성에 관한 것이다.

모든 선거 보안 문제를 도난당한 선거의 증거로 취급하면 실질적인 시정이 더 어려워진다. 이는 관리 당국이 정당한 연구를 또 다른 정치적 공격으로 치부하게 만들고, 당파적 집단이 범위가 제한된 결함을 과장하도록 부추긴다.

책임 있는 결론은 더 좁지만 더 강하다. 조지아주에는 특정 데이터 조건에서 개별 투표지 선택을 노출할 수 있는 문서화된 메커니즘이 있다. AI는 이를 대규모로 활용하는 데 필요한 노력을 낮췄다.

이 발견만으로도 완화 조치를 요구하기에 충분하다. 변경된 표, 해킹된 집계기, 잘못된 선거 결과에 관한 주장을 요구하지는 않는다.

조지아주가 11월 전에 입증해야 할 것

다음 시험대는 충분한 공개 증거를 보존해 선거 결과를 검증하면서도 매칭 사슬을 차단할 수 있는지 여부다.

첫 번째 신호는 스캐너 감사 로그, 체크인 기록, 투표 기록 파일을 어떻게 처리하는지다. 카운티에는 어떤 필드가 공개로 남고, 어떤 필드가 집계되며, 어떤 필드가 더 강한 개인정보 보호를 받는지 정의하는 일관된 지침이 필요하다.

독립 연구자들이 이러한 변경 뒤 정확한 유권자 순서를 재현할 수 없다면, 즉각적인 개인정보 보호 판단은 덜 심각해진다. 카운티 기록이 계속 일관되지 않거나 쉽게 상관관계를 보인다면, 주 정부의 행정적 대응은 불완전해 보일 것이다.

두 번째 신호는 독립적인 기술 검증이다. 조지아주는 자격을 갖춘 선거 보안 연구자들을 초청해 현실적인 11월 절차를 바탕으로 업데이트된 공개 절차를 시험해야 한다.

이 검증은 단순히 웹사이트에서 파일 하나가 사라졌음을 확인하는 데 그치지 않고, 연결 정확도를 측정해야 한다. 또한 감사와 공개 이의 제기에 필요한 증거를 주가 어떻게 보존하는지도 설명해야 한다.

투명하고 반복 가능한 시험은 완화 조치가 해당 메커니즘을 해결한다는 신뢰를 높일 수 있다. 의미 있는 시험을 허용하지 않는다면, 공무원들은 유권자들에게 근거 없는 보장을 받아들이라고 요구하게 될 것이다.

세 번째 신호는 제조사의 소프트웨어 업데이트 또는 이를 대체할 시스템을 위한 예산이 확보되고 인증된 계획이다. 미국 선거지원위원회의 공식 인증 기록에 따르면 Democracy Suite 5.17은 2023년 3월 16일 연방 인증을 받았다. 다만 연방 인증이 조지아주의 자체 승인 및 배포 절차를 대체하는 것은 아니다.

장기 계획에는 일정, 주 인증 이정표, 카운티 배포 절차, 설치 후 테스트가 포함돼야 한다. 이러한 이정표가 다시 지연되면, 주는 유권자 순서를 드러낼 수 있는 모든 보조 기록을 통제하는 데 계속 의존하게 될 것이다.

조지아주는 더 광범위한 장비 전환에도 직면해 있다. 주 의회는 2026년 중간선거 전에 대체안을 확정하지 못한 뒤 QR 코드 집계 제거 시한을 2028년으로 연기했다. QR 코드 지연은 기술 개혁과 운영 준비태세 사이의 동일한 긴장을 보여준다.

QR 코드 집계와 되돌릴 수 있는 CVR 순서는 별개의 문제다. 한 구성 요소를 교체한다고 해서 다른 문제가 자동으로 해결되지는 않는다. 향후 모든 시스템은 정확한 개표와 기록 연결에 대한 저항성 모두를 기준으로 평가돼야 한다.

AI 투표용지 매칭은 선거 관리자가 위험을 모델링하는 방식을 바꿔야 한다. 한때 무해해 보였던 공개 파일도 에이전트가 형식, 관할 구역, 타임스탬프 전반의 관계를 찾아낼 경우 민감해질 수 있다.

이 원칙은 선거를 넘어 적용된다. 병원, 법원, 학교, 고용주는 날짜, 장소, 범주 또는 결정론적 식별자를 유지한 채 익명화되었다고 여겨지는 기록을 공개하는 경우가 많다. AI는 이러한 조합을 더 쉽게 악용할 수 있게 만들 수 있다.

그러나 조지아주 유권자들에게 당면한 질문은 구체적이다. 주는 한 사람의 이름, 체크인 활동, 복원된 투표용지 순서가 더 이상 하나의 정치적 선택으로 수렴하지 않는다는 점을 보여줄 수 있는가?

먼저 카운티 공개 규정을, 둘째로 독립적인 개인정보 보호 테스트를, 셋째로 인증된 소프트웨어 일정을 지켜봐야 한다. 이러한 신호는 조지아주가 매칭 사슬을 끊었는지, 아니면 단지 조금 덜 편리하게 만들었는지를 드러낼 것이다.

조지아주의 투표 비밀 결함이 11월 개표 결과가 틀릴 것임을 증명하는 것은 아니다. 이는 정확한 선거 기록과 유권자 익명성에 별도의 방어 장치가 필요하다는 점을 보여준다. 다음 투표가 시작되기 전에 조지아주는 두 가지 모두를 입증해야 한다.