The Rise and Fall of Google's Privacy Sandbox

인터넷을 거대한, 북적이는 도시라고 상상해 보세요. 그곳의 모든 상점 주인은 당신이 다음에 무엇을 살지 완벽하게 알 수 있도록 당신이 무엇을 좋아하는지 정확히 알고 싶어 합니다. 수년 동안 그들이 이 일을 수행한 방식은 당신의 배낭에 아주 작고 보이지 않는 스티커를 붙여서 당신이 이 가게 저 가게를 따라다니게 하는 것이었습니다. 이것이 기술 전문가들이 "서드 파티 쿠키(third-party cookie)"라고 부르는 것입니다. 이는 효과적이었지만, 많은 사람에게 누군가 자신을 지켜보고 있다는 느낌을 주었고, 이는 프라이버시에 대한 큰 요구로 이어졌습니다. 이에 대응하여, 도시에서 가장 인기 있는 지도를 운영하는 거물인 구글은 "프라이버시 샌드박스(Privacy Sandbox)"라는 새로운 시스템을 구축하려고 노력했습니다. 이것은 마치 화려하고 최첨단 기술이 적용된 보안 요원과 같습니다. 이 보안 요원은 상점들이 당신의 얼굴을 보거나 도시 곳곳을 따라다니지 않고도 당신의 관심사를 알 수 있게 해주겠다고 약속합니다. 핵심 아이디어는 추적 작업을 당신의 브라우저(당신의 개인 휴대폰이나 컴퓨터) 내부로 옮겨 프라이버시를 유지하는 것이었지만, 시스템이 너무 복잡해서 여러 번 재설계되어야 했습니다. 모두가 던진 큰 질문은 이것이었습니다: 이 새로운 보안 요원이 실제로 효과가 있었을까요, 아니면 상점들이 그냥 이를 무시하고 예전의 기분 나쁜 스티커를 계속 사용했을까요?

이 논문은 이 새로운 시스템이 실제로 어떻게 사용되고 있는지 알아내기 위해 도시의 상위 10,000개 웹사이트를 6개월 동안 비밀리에 감시한 탐정 팀과 같습니다. 그들은 단순히 숫자만 본 것이 아니라, 당신이 프라이버시에 "예"라고 했을 때, "아니오"라고 했을 때, 심지어 아무것도 클릭하지 않았을 때 어떤 일이 일어나는지를 관찰했습니다. 그들은 프라이버시 샌드박스가 다소 실패했다는 것을 발견했습니다. 구글이 공식적으로 대부분의 기능을 중단하겠다고 발표하기도 전에, 상점들은 이미 이 새로운 보안 요원을 사용하기를 멈춘 상태였습니다. 유일하게 살아남은 것은 CHIPS(Cookies Having Independent Partitioned State)라고 불리는 특정 도구였는데, 이는 각 상점에 당신의 데이터를 위한 별도의 잠긴 상자를 제공하여 그들이 도시 전체에서 정보를 비교할 수 없게 만드는 것과 같습니다. 하지만 이 한 가지 성공에도 불구하고, 오래된 침해적인 스티커들이 여전히 가장 인기 있는 추적 방식이었습니다. 이 연구는 광고주와 웹사이트의 생태계가 이 새로운 프라이버시 친화적인 방식으로 전환할 준비가 되지 않았음을 보여주며, 당신에게 관련성 있는 광고를 보여주면서도 당신을 스파이처럼 감시하지 않는 방법이라는 숙제를 여전히 해결하지 못한 채 남겨두었습니다.

프라이버시 샌드박스의 부상과 몰락

그렇다면 구글이 정확히 무엇을 만들려고 했으며, 왜 무너졌을까요? 프라이버시 샌드박스는 광고주가 당신의 이름이나 움직임을 추적할 필요 없이 당신의 관심사에 기반하여 광고를 보여줄 수 있는 마법 상자가 될 예정이었습니다. 당신을 어디든 따라다니는 하나의 지속적인 스티커(서드 파티 쿠키) 대신, 구글은 일련의 새로운 도구들을 제안했습니다. 어떤 도구들은 브라우저가 당신의 관심사를 로컬에서 추측하게 할 것입니다(예를 들어, 당신이 방문한 모든 스포츠 사이트 목록 대신 "스포츠 팬"과 같은 일반적인 라벨을 부여하는 Topics API). 다른 도구들은 당신이 이전에 보았던 물건에 대한 광고를 보여주게 하되, 브라우저 내부에서 비밀 경매를 실행함으로써 가능하게 할 것입니다(Protected Audience API).

이탈리아 출신의 연구팀은 이 마법 상자가 실제로 현실 세계에서 사용되고 있는지 테스트하기로 했습니다. 그들은 매주 상위 10,000개 웹사이트를 방문하는 특별한 로봇 크롤러를 만들었습니다. 이 로봇은 똑똑했습니다. 프라이버시 배너에서 아직 "수락"을 클릭하지 않은 사용자, "예"라고 말한 사용자, 그리고 "아니오"라고 말한 사용자인 척할 수 있었습니다. 이를 통해 연구진은 웹사이트들이 당신이 동의하기도 전에 몰래 추적을 진행하는지 확인할 수 있었습니다.

큰 발견: 조용한 포기

연구팀이 발견한 가장 놀라운 사실은 프라이버시 샌드박스가 단순히 실패한 것이 아니라, 구글이 공식적으로 전원을 끄기도 훨씬 전에 이미 조용히 버려졌다는 점입니다. 2025년 10월, 구글은 이 새로운 도구 대부분을 은퇴시키겠다고 발표했습니다. 하지만 데이터에 따르면 이 도구들의 사용량은 이미 몇 달 전부터 줄어들고 있었습니다.

이것을 큰 회사가 가솔린 자동차를 대체할 것이라고 약속한 새로운 친환경 자동차에 비유해 봅시다. 회사는 "내년에 가솔린 자동차 생산을 중단하겠습니다!"라고 말했습니다. 하지만 데이터는 사람들이 친환경 자동차가 너무 복잡하고 가솔린 주유소(기존의 추적 방식)가 여전히 잘 작동하고 있기 때문에 6개월 전에 이미 친환경 자동차를 사기를 멈췄음을 보여주었습니다.

연구 결과는 다음과 같습니다:

• 대부분의 도구가 무시되었습니다: 프라이버시 샌드박스의 10가지 도구 중, 상당수의 웹사이트가 사용한 것은 단 하나인 CHIPS뿐이었습니다(약 50%). Protected Audience나 Shared Storage와 같은 나머지 도구들은 거의 아무도 사용하지 않았습니다. 실제로 이들의 사용량은 공식 은퇴 발표 몇 달 전부터 거의 제로에 가깝게 떨어졌습니다.
• 소수만이 시도했습니다: 이 도구들을 실제로 사용한 소수의 웹사이트는 주로 거대 광고 기업들이었습니다. 하지만 그들조차 시간이 흐름에 따라 도구 사용을 줄이기 시작했습니다. 연구가 끝날 무렵, 이 도구들을 사용하는 기업의 수는 현저히 줄어들었습니다.
• 구식 방식이 승리했습니다: 프라이버시 친화적인 시스템을 구축하기 위한 모든 노력에도 불구하고, 오래된 방식인 파티션되지 않은 서드 파티 쿠키(이 "기분 나쁜 스티커")는 여전히 약 75%의 웹사이트에서 사용되고 있었습니다. 심지어 성공한 유일한 도구인 CHIPS조차 기존 쿠키를 대체하지 못하고 그 옆에 나란히 놓여 있을 뿐이었습니다.

"의심스러운" 행동

연구진은 또한 사용자가 추적에 "아니오"라고 답했을 때 어떤 일이 일어나는지도 살펴보았습니다. 그들은 일부 웹사이트가 사용자가 명시적으로 동의를 거부한 후에도 여전히 이러한 새로운 도구들을 사용하고 있다는 것을 발견했습니다. 이것이 반드시 악의적인 음모는 아니었지만, 시스템이 매우 무질서하다는 신호였습니다. 이는 마치 "멈춰달라"고 말하면 당신을 따라다니는 것을 멈추겠다고 약속하지만, 가끔 보안 요원이 카메라를 끄는 것을 잊어버리는 상점과 같습니다. 이러한 "의심스러운 사용"은 프라이버시 규칙을 자동으로 강제하는 것이 얼마나 어려운지를 보여주었습니다.

왜 실패했는가?

이 논문은 프라이버시 샌드박스가 너무 복잡하고 웹사이트 운영자들에게 명확한 이점을 제공하지 못했기 때문에 실패했다고 제안합니다. 기존의 추적 방식(서드 파티 쿠키)은 프라이버시에는 좋지 않을지라도 단순하고 잘 작동했습니다. 새로운 시스템은 웹사이트가 페이지를 구축하는 방식을 바꿔야 했으며, 도구들이 혼란스럽거나 광고주가 원하는 데이터를 충분히 제공하지 못했습니다.

연구는 단순히 "좋은 아이디어"를 갖거나 구글과 같은 대기업이 밀어붙인다고 해서 인터넷이 작동하는 방식을 바꿀 수 있는 것은 아니라고 결론짓습니다. 광고주와 웹사이트의 생태계는 너무나 기존의 습관에 젖어 있습니다. 연구진은 아마도 엄격한 법률(규제)만이 실질적인 변화를 강제할 수 있을 것이라고 제안하지만, 현재로서는 관련성 있는 광고를 보면서도 당신을 감시하지 않는 프라이버시 보호 인터넷이라는 꿈은 여전히 실현되지 않은 채 남아 있습니다. 프라이버시 샌드박스는 숭고한 실험이었지만, 결국 인터넷은 예전의 침해적인 방식을 계속 사용하기로 결정했습니다.