에이전트가 어디서 요청을 보내느냐가 법적 지위를 갈랐다

사용자를 대신해 남의 사이트에서 동작하는 기능을 만들고 있다면, 요청이 사용자 기기에서 나가는지 내 서버에서 나가는지가 기능 차이가 아니라 법적 지위의 차이일 수 있다. 미 제9순회항소법원이 8월 4일 그 선을 그었다.

Amazon이 Perplexity의 Comet 브라우저를 상대로 받아냈던 가처분이 취소됐다. 이유는 에이전트가 착했기 때문이 아니다. 아마존 서버에 실제로 접속한 주체가 사용자 컴퓨터였기 때문이다.

확인된 것

Amazon.com Services, LLC v. Perplexity AI, Inc., No. 26-1444 (9th Cir.). 3월 9일 캘리포니아 북부지법이 내린 예비적 금지명령을 8월 4일 취소하고 환송했다. Milan D. Smith Jr. 판사가 집필했다.

핵심 판단은 현재 기록상 CFAA(및 캘리포니아 CDAFA)상 아마존 컴퓨터에 "접근"한 주체가 Perplexity가 아니라 이용자라는 것이다. 근거가 된 구조는 이렇다 — Comet의 Assistant는 사용자 컴퓨터에서 화면을 캡처해 Perplexity 서버로 보내고, 지시를 받아 다시 사용자 컴퓨터에서 실행한다. 로펌 분석(Cooley)의 정리로는 "Perplexity itself does not directly communicate with Amazon's servers"가 결정적이었다.

같이 확인해야 할 두 가지가 있다.

• 법원은 다른 청구는 살려뒀다. "other legal theories, such as breach of terms of service and contract- or tort-based theories."
• 그리고 구조가 달랐으면 결론도 달랐을 수 있다고 했다. 자율성이 더 높거나 서버 대 서버 통신이 직접 일어나면 CFAA 책임이 생길 수 있다는 것이다.

가처분 단계라는 점도 명시돼 있다. "the panel's findings reflect a likelihood-of-success assessment on the current record, not a final merits ruling."

내 판단

1. 클라이언트 측 실행을 택할 이유가 하나 더 생겼다.

사용자 대신 3자 사이트에서 동작하는 기능을 만들 때, 보통은 편의로 구조를 정한다. 사용자 브라우저에서 돌리면 세션과 쿠키를 그대로 쓸 수 있어 편하고, 서버에서 헤드리스로 돌리면 스케줄링과 재시도가 편하다. 대개 이 둘을 저울질해서 고른다.

여기에 새 항목이 붙었다. 누가 접근한 것으로 보이는가. 사용자 기기의 브라우저가 요청을 보내면 사용자가 접근한 것이고, 내 서버가 직접 붙으면 내가 접근한 것으로 다뤄질 여지가 생긴다. 법원이 그 가능성을 직접 열어놨다.

혼자 만드는 입장에서 이건 나중에 못 바꾸는 종류의 결정이다. 서버 사이드로 다 짜놓고 나서 클라이언트로 옮기는 건 재작성에 가깝다.

2. "에이전트가 이겼다"로 읽으면 틀린다.

CFAA는 형사 조항까지 걸린 법이고, 거기서 빠져나온 것과 아무 제약이 없는 것은 다르다. 이용약관 위반, 계약, 불법행위 청구는 그대로 살아 있다고 법원이 명시했다. 플랫폼 입장에서는 훨씬 다루기 쉬운 경로가 남은 셈이다. 계정 정지는 소송보다 훨씬 빠르다.

실무적으로는 이 판결이 있든 없든 약관을 읽고, 에이전트 트래픽임을 숨기지 않고, 차단당하면 우회하지 않는다는 원칙은 그대로다. 바뀐 건 "해킹법으로 걸릴까"의 답이지 "차단당할까"의 답이 아니다.

3. 가처분이다.

승소 가능성 평가고 사건은 지방법원으로 돌아갔다. 이걸 근거로 제품 로드맵을 확정할 단계가 아니다. 방향 참고는 되지만 확정된 규칙은 아니다.

모르는 것 · 한계

• 판결문 원문을 직접 읽지 못했다. justia 링크가 403으로 막혔다. 위 내용은 로펌 분석과 언론 보도를 교차 확인한 것이다.
• 2차 출처들이 엇갈리는 지점이 하나 있다. 한 요약본은 법원이 형사법의 관대한 해석 원칙(rule of lenity)을 적용했다고 했는데, Cooley 분석에는 그 언급이 없다. 어느 쪽인지 확인하지 못했으므로 위 본문에 넣지 않았다.
• User-Agent를 바꿔 탐지를 피했다는 아마존 주장이 있었는데, 법원이 그 부분을 어떻게 봤는지는 확인하지 못했다.
• 미국 제9순회 관할의 미국 법이다. 한국에서 서비스하는 사람에게 그대로 적용되지 않는다. 그리고 나는 법률가가 아니다. 이 글은 설계 판단의 재료지 법률 자문이 아니다.