컴플라이언스를 팔던 회사가 컴플라이언스를 어겼다

들어가며

구독자님, 한 가지 아이러니한 이야기로 시작해 볼게요. SOC 2¹​, HIPAA²​, GDPR³​ 같은 보안 인증을 “AI로 며칠 만에 끝내드립니다”라고 약속하던 스타트업이 있었어요. 3억 달러 밸류에이션, 3,200만 달러 시리즈 A, Forbes 30 Under 30, YC 대표가 직접 “톱 스타트업”이라 부른 회사. 그런데 이 회사가 정작 오픈소스 라이선스라는 가장 기초적인 컴플라이언스조차 지키지 않았다는 의혹이 터졌어요.

2026년 4월 4일, YC는 Delve에게 커뮤니티를 떠나달라고 요청했어요. YC 역사에서 포트폴리오 기업을 퇴출시킨 사례는 극히 드물어요. 이 사건은 단순한 스타트업 스캔들을 넘어서, 오픈소스 포크⁴​의 윤리적 경계선, 액셀러레이터 네트워크의 신뢰 구조, 그리고 “속도”를 파는 AI 스타트업의 구조적 함정을 동시에 보여주고 있어요.

17개월간의 시계열: 로켓에서 추락까지

Delve의 궤적을 시간순으로 정리하면, 실리콘밸리에서 ‘성장 내러티브’가 어떻게 구축되고 어떻게 무너지는지가 선명하게 보여요.

2023년: MIT 재학 중이던 카룬 카우식(Karun Kaushik)과 셀린 코칼라르(Selin Kocalar)가 의료 AI 스크라이브로 시작했다가, 직접 HIPAA 인증의 고통을 겪은 뒤 컴플라이언스 자동화로 피벗⁵​해요.

2024년 초: YC Winter 2024 배치에 선정돼요. AI 에이전트가 증거 수집, 보고서 작성, 갭 모니터링까지 자동으로 처리한다는 피치였어요.

2025년 1월: General Catalyst 등에서 330만 달러 시드 라운드를 유치해요.

2025년 4~5월: 여기서 핵심적인 사건이 벌어져요. Delve는 같은 YC 동문사인 Sim.ai의 고객이 돼요 — SOC 2와 HIPAA 인증을 위해 1만 5천 달러를 지불하죠. 그런데 같은 시기, 내부에서는 Sim.ai의 오픈소스 제품인 SimStudio를 자사 제품 “Pathways”로 포팅하는 작업이 진행되고 있었어요. 내부 Notion 문서에는 “Sim Studio Port Plan”이라는 이름으로 복사할 폴더 목록(Blocks, Components, Executor, Tools, 데이터베이스 스키마)이 구체적으로 나열되어 있었다는 게 내부 제보자의 주장이에요.

2025년 7월: Insight Partners 주도로 3,200만 달러 시리즈 A를 유치해요. 밸류에이션 3억 달러.

2025년 9월: YC CEO 게리 탄(Garry Tan)이 카우식의 MIT 강연 포스트를 리트윗하며 “Delve는 톱 YC 스타트업”이라고 언급해요. 당시 이 포스팅의 조회수는 17만 5천을 기록해요.

2025년 12월: 수백 개 고객사의 SOC 2 감사 보고서 초안이 담긴 구글 스프레드시트가 공개 접근 가능한 상태로 유출돼요. 카우식은 “외부 당사자가 데이터베이스에 접근한 사실은 없다”고 고객들에게 이메일을 보내요. 같은 달, 두 창업자가 Forbes 30 Under 30 AI 부문에 선정돼요.

2026년 3월 18일: 익명의 서브스택 계정 ‘DeepDelver’가 Part I을 발표해요. 핵심 주장: 494개 SOC 2 보고서 중 493개가 99.8% 동일한 내용이라는 폭로성 아티클이였어요. 인도 기반 인증 기관을 통한 고무도장식 감사. AI가 아닌 사전 작성 템플릿과 수작업 기반 프로세스.

2026년 3월 20일: Delve가 블로그를 통해 반박해요. “Delve는 컴플라이언스 보고서를 발행하지 않는다. 최종 보고서는 독립 감사인이 발행한다.” patio11(HN의 유명 논객)은 이 성명이 “핵심 의혹을 인정하면서도 모든 책임을 부인하는 교과서적 비부인 부인(non-denial denial)⁶​“이라고 평가해요.

2026년 3월 23일: Insight Partners가 Delve 투자 관련 블로그 포스트를 웹사이트에서 삭제해요.

2026년 3월 30일: DeepDelver Part II 발표. 새로운 의혹: Delve가 Sim.ai의 Apache 2.0 라이선스⁷​ 오픈소스 제품 SimStudio를 포크하여 “Pathways”라는 이름으로 기업 고객에게 5만~20만 달러 이상에 판매했다는 주장이에요. Sim.ai CEO 에미르 카라베그(Emir Karabeg)가 TechCrunch에 라이선스 계약이 전혀 없었음을 확인해요.

2026년 4월 1일: TechCrunch가 오픈소스 라이선스 위반 의혹을 보도해요. X(구 트위터)에서 트렌딩 토픽이 돼요.

2026년 4월 4일:YC가 Delve에게 커뮤니티를 떠나달라고 요청해요. 게리 탄의 내부 Bookface⁸​ 메시지가 유출돼요: “YC는 커뮤니티지, 단순한 액셀러레이터가 아닙니다. 우리 커뮤니티의 창업자들은 서로를 신뢰해야 하고, 우리도 그들을 신뢰해야 합니다. 그 신뢰가 무너지면, 할 수 있는 일은 하나뿐입니다.”