사이먼 베커트 ‘디지털 카무플라주’, AI 사람 감지기를 교란하는 옷

[KtN 정석헌기자]횡단보도 위 보행자와 자전거 이용자에게 녹색 사각형이 붙어 있다. 교차로 중앙을 걷는 남성 한 명만 탐지 표시에서 빠졌다. 분홍색과 초록색이 뒤엉킨 셔츠가 몸을 가린 것도, 도로의 색과 섞인 것도 아니다. 독일 미디어 아티스트 사이먼 베커트(Simon Weckert)가 2025년 발표한 ‘디지털 카무플라주(Digital Camouflage)’는 사람의 눈이 아니라 AI 감시 카메라를 상대로 만든 위장복이다.

군복에 쓰이는 위장무늬는 착용자를 주변 환경과 비슷하게 만든다. 베커트의 셔츠는 반대다. 강한 색과 촘촘한 무늬로 사람의 시선을 끌면서도, 카메라 영상에서 인체를 찾는 컴퓨터 비전에는 판단을 흐리는 정보로 작용하도록 설계됐다. 사람에게 잘 보이는 옷이 기계에는 사람을 놓치게 만드는 구조다.

‘디지털 카무플라주 v1’이 겨냥한 대상은 객체 탐지 알고리즘 욜로(YOLO)다. 욜로는 영상 속 사람과 자동차, 자전거 같은 대상을 찾아 위치를 표시하고, 탐지 결과가 맞을 가능성을 신뢰도 점수로 계산한다. 셔츠에 인쇄된 무늬는 알고리즘의 관심을 인체에서 패턴으로 돌리고 사람으로 판단하는 신뢰도를 낮춘다. 점수가 시스템에 설정된 기준 아래로 떨어지면 사람이 카메라 앞에 있어도 탐지 상자가 생성되지 않을 수 있다.

작동 원리는 적대적 공격(adversarial attack)이다. AI가 물체를 구분할 때 사용하는 색과 윤곽, 질감의 조합을 의도적으로 비틀어 오판을 유도한다. 사람에게는 추상적인 그래픽으로 보이는 무늬가 알고리즘에는 인체의 특징을 흐리는 시각 정보로 들어간다. 착용자의 모습이 영상에서 지워지는 기술이 아니라, 영상에 담긴 사람을 AI가 사람으로 분류하지 못하게 만드는 방식이다.

사람 감지와 안면인식도 구분해야 한다. 사람 감지는 영상 안에서 인체를 찾아 위치를 표시하는 단계다. 안면인식은 얼굴의 특징을 추출한 뒤 저장된 정보와 비교해 신원을 확인한다. ‘디지털 카무플라주’는 사람 감지기를 먼저 흔든다. 초기 탐지에서 인체를 놓치면 자동 추적이나 행동 분석으로 넘어가는 과정도 영향을 받을 수 있지만, 얼굴과 신원이 모든 카메라에서 사라지는 옷은 아니다.

초기의 적대적 의류는 가슴이나 등에 특정 그림을 크게 붙이는 방식이 많았다. 2019년 발표된 적대적 티셔츠 연구도 움직이는 옷감에 인쇄한 패턴으로 욜로v2를 교란했지만, 패치가 접히거나 카메라에서 벗어나면 성능이 떨어질 수밖에 없었다. 몸을 돌릴 때 무늬 일부가 사라지고, 여러 패턴을 나눠 배치하면 카메라가 각 패턴의 일부만 잡는 문제가 뒤따랐다.

베커트가 채택한 적대적 텍스처(Adversarial Texture)는 작은 패치 대신 원단 전체를 무늬로 덮는다. 패턴 제작에는 토로이달 크로핑 기반 확장형 생성 공격(Toroidal-Cropping-based Expandable Generative Attack·TC-EGA)이 쓰였다. 작은 기본 무늬를 반복 가능한 구조로 만든 뒤 옷의 크기와 형태에 맞춰 넓히는 방법이다. 소매가 접히거나 몸의 일부만 촬영돼도 카메라에 들어온 원단 안에 교란 정보가 남도록 했다.

TC-EGA는 2022년 컴퓨터 비전·패턴 인식 학술대회(CVPR)에 발표됐다. 연구진은 욜로v2와 욜로v3, 패스터 R-CNN(Faster R-CNN), 마스크 R-CNN(Mask R-CNN) 등을 대상으로 패턴을 시험하고, 원단에 직접 인쇄해 티셔츠와 치마, 드레스를 제작했다. 컴퓨터 안에서 이미지를 조작하는 데 머물지 않고 실제로 입고 움직이는 옷까지 실험 범위를 넓혔다.

‘디지털 카무플라주’ 의류는 재생 폴리에스터 65%와 폴리에스터 35%를 섞은 원단으로 라트비아에서 제작됐다. 알고리즘이 만든 무늬는 디지털 텍스타일 프린팅으로 직물 전체에 옮겨졌다. 원단을 재단하고 봉제한 뒤에도 패턴이 이어지도록 만든 생산 방식은 적대적 공격을 연구용 이미지에서 일상복 형태로 옮기는 데 필요한 조건이었다.

AI와 패션의 관계도 기존 흐름과 다른 방향으로 움직인다. 패션업계는 체형 분석과 가상 착용, 상품 추천처럼 소비자를 더 정확하게 인식하는 기술을 확대해 왔다. ‘디지털 카무플라주’는 기계가 착용자를 제대로 읽지 못하게 옷을 설계한다. 의류의 색과 무늬가 취향을 나타내는 요소를 넘어 카메라와 알고리즘에 입력되는 데이터가 된 것이다.

AI 영상 분석이 공공장소의 사람과 차량을 자동으로 찾고, 여러 영상에서 이동 경로를 추적하는 수준으로 확대되면서 감시를 피하려는 패션도 하나의 흐름으로 자리 잡고 있다. 얼굴에 강한 빛을 반사하는 소재, 안면인식 모델이 다른 대상으로 오인하도록 만든 니트웨어, 사람 감지기를 흔드는 적대적 패턴까지 방식도 다양해졌다. 패션은 신원을 표현하는 수단인 동시에 기계의 분류를 거부하는 수단으로 영역을 넓히고 있다.

기술의 범위는 홍보 문구보다 좁게 볼 필요가 있다. ‘AI 카메라에 보이지 않는 옷’이라는 표현은 모든 감시 시스템에서 착용자가 사라진다는 인상을 준다. 베커트의 공식 설명은 욜로를 공격 대상으로 명시한다. 특정 버전의 객체 탐지 모델에서 효과를 냈다고 해서 최신 욜로 계열이나 다른 방식의 사람 감지기에서도 같은 결과가 나온다고 단정할 수 없다.

카메라가 옷을 바라보는 방향과 촬영 거리도 성능을 바꾼다. TC-EGA 연구에서는 정면과 후면에서 공격 효과가 높았지만, 몸의 옆면이 카메라를 향하면 노출되는 패턴 면적이 줄어 성능도 낮아졌다. 티셔츠보다 원단 면적이 큰 드레스에서 공격 효과가 높았고, 카메라와 착용자 사이의 거리도 결과에 영향을 미쳤다. 전면 텍스처가 고정 패치의 약점을 줄인 것은 맞지만, 주름과 각도에 관계없이 항상 작동한다는 뜻은 아니다.

2022년 논문에 사용된 실험용 의류와 베커트가 제작한 제품의 성능을 그대로 같다고 보기도 어렵다. 탐지 모델의 버전과 학습 데이터, 카메라 해상도, 조명, 영상 압축률, 신뢰도 기준이 달라지면 탐지 결과도 바뀐다. 베커트의 완성품이 실제 공공 감시망이나 최신 상용 보안 시스템에서 어느 정도 성능을 냈는지 보여주는 독립적인 검증 자료는 현재 공개된 정보만으로 확인하기 어렵다.

탐지 상자가 사라져도 카메라 영상에는 사람이 남는다. 관제 인력은 착용자를 육안으로 확인할 수 있고, 얼굴 탐지와 열화상 카메라, 깊이 센서, 여러 카메라를 연결한 이동 추적까지 같은 패턴으로 교란된다는 근거도 제시되지 않았다. 한 종류의 사람 감지기를 피하는 기술과 감시망 전체에서 신원을 감추는 기술 사이에는 상당한 거리가 있다.

AI 보안 담당자에게 ‘디지털 카무플라주’는 회피용 의류인 동시에 레드팀(red team) 시험 도구가 될 수 있다. 적대적 패턴을 입은 사람을 여러 거리와 각도에서 촬영하면 탐지기가 어느 조건에서 사람을 놓치는지 확인할 수 있다. 군중 밀도와 조명, 옷의 면적을 바꿔가며 누락률을 측정하고, 실패한 영상을 학습 데이터에 넣어 모델을 다시 훈련하는 방식도 가능하다. 공격 패턴을 공개하는 행위가 탐지기의 약점을 드러내는 동시에 후속 방어 기술의 재료가 되는 구조다.

사용 목적에 따른 충돌도 남는다. 시민에게는 과도한 자동 추적을 피하는 프라이버시 도구가 될 수 있지만, 보안 카메라나 안전 시스템을 의도적으로 무력화하는 수단으로 쓰일 가능성도 있다. 공항과 철도, 공장처럼 사람 감지가 안전과 직접 연결되는 공간에서는 탐지 누락이 사고로 이어질 수 있다. 적대적 패션의 성능이 높아질수록 개인의 익명성과 공공 안전을 어디까지 인정할지를 둘러싼 규정도 함께 구체화될 가능성이 크다.

사이먼 베커트는 알고리즘의 취약점을 연구실 밖으로 꺼내 직물에 인쇄했다. 화려한 셔츠 한 벌이 모든 AI 감시 카메라를 무력화하지는 못한다. 다만 사람을 자동으로 찾아낸다는 시스템도 색과 질감, 촬영 각도에 따라 대상을 놓칠 수 있다는 사실은 분명하게 드러난다.

최신 객체 탐지 모델을 대상으로 한 교차 실험과 실제 도심 감시망 검증, 세탁과 마찰 이후의 패턴 유지 여부, 여러 센서를 함께 사용하는 환경에서의 탐지 결과가 뒤따라야 활용 범위를 판단할 수 있다. 현재의 ‘디지털 카무플라주’는 완성된 투명망토보다 AI 사람 감지기의 빈틈을 옷의 형태로 구현한 적대적 패션에 가깝다.