애플은 "바이너리에 없던 기능"을 중심으로 앱 심사를 다시 썼다. 제재가 향하는 곳은 개발자 계정이다

애플이 10월 16일 App Review 지침을 개정했다. 알린 방식은 지침을 고칠 때마다 쓰는 그 방식이다. Apple Developer News에 날짜가 붙은 글 하나, 일곱 줄의 변경 내역, 보도자료는 없음. 그 일곱 줄 가운데 둘은 같은 문제를 겨냥하고 있다. 그리고 그것은 앱 심사가 애초에 잡도록 만들어진 문제가 아니다 — 유해한 기능이 심사자가 승인한 바이너리 안에는 들어 있지 않은 앱이다.

애플이 밝힌 변경 내용

지침 1.2는 이제 다루는 피해와 다루는 앱을 이름으로 부르며 시작한다.

사용자가 콘텐츠를 생성, 제작, 업로드, 공유하거나 그 밖의 방식으로 기여할 수 있게 하는 앱에는 지식재산권 침해, 비동의 성적 이미지, 익명 괴롭힘을 포함한 고유한 과제가 있다. 여기에는 소셜 미디어, 사용자 제작 콘텐츠 플랫폼, 그리고 AI 콘텐츠 생성 앱이 포함된다.

9to5Mac에 따르면 "비동의 성적 이미지"라는 표현과 아래 문장이 이번 개정에서 추가된 부분이다.

적절한 보호 장치를 구현하지 않거나 통지 후 확인된 위반을 시정하지 않는 개발자는 Developer Code of Conduct 위반으로 간주될 수 있다.

새로 생긴 지침 2.5.19의 전문은 이렇다.

앱에 숨긴 기능, 비활성 기능, 문서화되지 않은 기능을 일절 포함하지 말 것. 앱의 기능은 최종 사용자와 App Review 모두에게 명확해야 한다. 코드 난독화나 그 밖의 방법으로 문서화되지 않은 기능을 앱 바이너리 안에 숨기려 시도하는 것은 App Store에서의 앱 삭제와 개발자 계정 해지의 근거가 된다.

심사는 빌드를 본다, 이 앱들은 기능의 위치를 옮겼다

누드화 앱 문제는 애플 심사자들이 누드화를 내세운 앱을 통과시킨다는 것이 아니었다. 그런 앱들이 그것을 내세우지 않는다는 것이었다. Tech Transparency Project는 1월에 App Store에서 수십 개의 AI "nudify" 앱을 확인했고, 4월 후속 조사에서는 App Store의 검색 제안과 광고가 사용자를 그쪽으로 유도하고 있었다고 보고했다. 7월에는 샌프란시스코 당국이 비동의 성적 이미지를 생성할 수 있는 앱 여덟 개의 삭제를 애플에 요구했다.

같은 수법이 다른 범주에서도 나타났다. 9to5Mac의 7월 조사는 게임이나 유틸리티로 위장했다가 브라질 IP 주소에서 열면 도박 플랫폼이 드러나는 App Store 앱 수십 개를 찾아냈다. 상당수는 어린이도 받을 수 있는 상태였다. 두 경우 모두 해당 기능은 서버 측 플래그 뒤에 놓여 있거나 난독화된 바이너리 안에 묻혀 있다. 제출된 빌드에 대한 정적 심사는 둘 중 어느 쪽도 볼 수 없고, 심사 인원을 늘려도 이 성질은 바뀌지 않는다.

그래서 2.5.19는 새로운 탐지 수단이 아니다. 사후 제재의 더 깔끔한 근거이며, 거기서 호명된 제재는 계정 단위다. 앱 삭제와 개발자 계정 해지다. 애플 자신도 이 방침이 오래된 것이고 전에는 2.3.1에 있었다고 분명히 적었다. 새로운 것은 그것이 독립 조항이 되었고, 코드 난독화를 명시했으며, 제출물이 아니라 개발자에게 무슨 일이 생기는지를 말한다는 점이다.

지침 1.2도 콘텐츠 쪽에서 같은 일을 한다. 시정 불이행을 Developer Code of Conduct로 연결하는 것은 결과를 "이 앱이 내려간다"에서 "이 개발자가 프로그램에 남지 못할 수 있다"로 옮기는 일이다. 다음 주에 같은 바이너리를 다른 서류상 회사 이름으로 올릴 수 있는 운영자에게 무게가 있는 제재는 그것뿐이다.

지켜볼 문장은 섹션 5에 있다

가장 결과가 큰 명확화가 가장 조용한 곳에 있다. 섹션 5의 도입부는 이제 극단적인 경우 — 인신매매나 아동 착취를 조력하는 앱 — 에 대해 당국에 통보되고 해당 앱은 "App Store에서 삭제되고 대체 배포에서도 차단된다"고 적는다.

지침 2.5.19에는 애플의 공증(notarization) 표식이 붙어 있어, iOS와 iPadOS에서 App Store 밖으로 배포되는 앱에도 적용된다는 뜻이다. 디지털시장법(DMA)에 따라 애플은 EU에서 iOS를 다른 마켓플레이스와 웹 배포에 열어야 했지만, 공증 단계는 손에 남겼다. 이 두 수정은 애플이 자기 소유가 아닌 유통 경로에 대해 작동하도록 지침을 쓰고 있다는 뜻이다. DMA가 남겨 둔 문을 통해서다. 그것이 유럽위원회와의 접촉을 견딜지는 별개의 문제고, 적어도 의도는 이제 문서에 적혀 있다.

이름이 적히지 않은 선례는 Grok이다

4월에 애플은 xAI에 누드 딥페이크를 계속 허용하면 Grok이 삭제 대상이 될 수 있다고 비공개로 통보했다. xAI는 보호 장치를 추가했고 애플은 업데이트 버전을 승인했다. MacRumors도 9to5Mac도 이번 개정이 특정 앱을 위해 쓰였다고 애플이 말했다고는 보도하지 않았다. 그리고 1.2가 호명하는 것은 회사가 아니라 "AI 콘텐츠 생성 앱"이라는 범주다.

솔직하게 읽으면 이 가운데 어느 것도 집행 자체는 아니다. 집행이 필요로 하는 서류 작업이다. 애플은 지난 1년 동안 심사 자리에서 거짓말한 앱들을 상대해 왔고, 그 거짓말 자체를 위반으로 만드는 방식으로 대응했다. 시험대는 2.5.19에 따라 실제로 몇 개의 개발자 계정이 해지되는지다 — 애플이 한 번도 공개한 적 없는 숫자다. 개정된 지침의 번역본은 한 달 안에 공개될 예정이다.

Sources: Apple Developer News: Updated App Review Guidelines are now available · Apple: App Review Guidelines · 9to5Mac: Apple's new App Store rules crack down on AI nudification and 'bait-and-switch' apps · MacRumors: New App Store Rules Target AI Deepfakes and Nudify Apps