빅4 중 3곳, 가짜 각주에 걸리다

들어가며

구독자님, 지난달 EY가 자사 보고서를 삭제했어요. 27개 각주 중 16개가 가짜였거든요. 그런데 이번 주 KPMG까지 같은 일을 당했어요. 이번엔 더 심해요. 45개 각주 중 5개만 진짜 였어요. 딜로이트까지 합치면, 빅4¹​ 중 3곳이 AI가 만들어낸 가짜 각주에 걸린 거예요.

GPTZero라는 AI 탐지 스타트업은 이 현상에 “바이브 사이팅(vibe citing)“²​이라는 이름을 붙였어요. AI가 지어낸 가짜 출처를 검증 없이 그대로 갖다 쓰는 행위예요.

결론부터 말씀드리면, 이건 개별 기업의 실수가 아니에요. 문제의 본질은 기술이 아니라 “검증을 건너뛰게 만드는 조직 구조”에 있어요.

GPTZero 연구팀이 EY 캐나다와 KPMG의 보고서 “Points of Attack: Uncovering Cyber Threats and Fraud in Loyalty Systems”, “Total Experience: Redefining Excellence in the Age of Agentic AI”를 한 줄 한 줄 추적한 결과는 꽤 충격적이에요.

🔍 EY 보고서에서 실제로 발견된 것들

먼저, EY의 보고서는 로열티 프로그램(포인트·마일리지)의 사이버 보안 취약점을 다루는 내용이었어요. EY의 파트너 2명과 시니어 매니저 1명이 저자로 이름을 올렸고, 캐나다 지사의 사이버보안 컨설팅 영업용 자료로 활용되고 있었어요.

먼저 시간순으로 첫 번째 사건이에요. 2025년 말 EY 캐나다가 발행한 로열티 프로그램 사이버보안 보고서를, GPTZero가 한 줄 한 줄 추적했어요.

• 27개 참고문헌 중 16개(약 60%)가 환각: URL이 404를 반환하거나, 해당 문서 자체가 존재하지 않았어
• 맥킨지 보고서 날조: “Loyalty Economics Report(2022)“라는 맥킨지 보고서를 인용했는데, 맥킨지에 이런 보고서는 없어요. 저품질 블로그에서 이미 환각된 정보를 AI가 재흡수한 “간접 환각(secondhand hallucination)“으로 분석됐어요
• 자기 모순 데이터: 로열티 시장 규모와 미사용 포인트 규모를 동시에 2,000억 달러로 제시했어
• AI 생성 확률 72%: 보고서 텍스트의 72%가 AI 생성으로 판정됐어요. EY 캐나다는 보고서를 즉시 삭제하고 “게재 경위를 검토 중”이라고 밝혔어요. 동시에 “이 보고서는 어떤 클라이언트 프로젝트와도 관련이 없다”고 선을 그었고요. 한 마디로, 본인들이 작성하고, 게재한 보고서인데 본인들이 어떻게 올렸는지 모르겠고, 고객과도 상관 없으며, 데이터 출처도 모르겠다고 한 셈이에요. 😂