1. 메이플 스타 공지

메이플스타에서 사용되는 자체 제작 리소스 및 에셋은 당사 내부의 제작 과정을 통해 만들어지고 있으며, 이러한 자체 제작 에셋을 외부에 판매하거나 배포·공유하고 있지 않습니다. 따라서 당사로서는 외부에 별도로 제공하지 않은 자체 제작 리소스가 어떠한 경로를 통해 상대 측에 취득되어 실제 개발 빌드에 반영될 수 있었는지를 확인하는 것이 매우 중요한 상황입니다.

2. 글자 사과방송

레퍼런스는 개발진과 소통중이지만 AI의 사용으로 발생한 문제로 파악된다. 

3. 메이플 월드 공지

다만 내부 확인 결과, 일부 그룹 소유 리소스가 ‘그룹만 사용 가능’으로 설정되어 있더라도 

해당 리소스의 RUID를 알고 있으면 권한이 없는 다른 월드에서도 이를 참조하여 사용할 수 있는 오류가 존재했던 것으로 확인되었습니다. 

 

이번 오류는 임의의 리소스를 검색하거나 열람할 수 있는 구조가 아니라, 특정 리소스의 RUID를 사전에 확보한 경우에만 발생할 수 있었습니다. 

 

이에 따라 통상적인 월드 제작 및 이용 과정에서는 발생 가능성이 낮다고 판단해 왔으나, 

조사 과정에서 AI Toolkit을 연동해서 AI Agent(Claude Code, Codex 등)가 동작할 때,

외부에서 RUID를 별도로 확인할 수 있는 경우까지 충분히 고려하지 못했습니다.


(...)


둘째. RUID를 통한 리소스 참조는 원본 파일의 다운로드나 복제를 의미하지 않습니다. 

이번 오류 현상은 특정 RUID를 알고 있는 경우 리소스 접근 권한이 없는 월드에서도

해당 이미지나 오디오 파일 등을 화면에 표시, 재생할 수 있었던 현상에 한정되며 

이를 통해 원본 데이터나 파일을 다운로드, 복제하거나 해당 리소스의 소유권을 이전 받을 수 있었던 것은 아닙니다. 


(...)


AI Toolkit – MSW MCP 서버 기능 관련 확인된 내용

메이플스토리 월드 개발팀은 위 오류를 인지한 후 원인과 영향 범위를 조사해 왔으며,

이 과정에서 AI Toolkit에서 지원하는 MSW MCP 서버 기능을 통해 권한이 없는 리소스의 정보가 조회될 수 있는 문제도 확인했습니다. 

 

다만, AI Agent가 플랫폼 내 다수의 리소스를 임의로 탐색하여 특정 그룹의 리소스를 자동으로 찾아내는 방식은 아니었으며

특정 리소스를 확인하기 위해서는 해당 RUID를 이미 알고 있거나, 별도의 탐색 과정을 통해 관련 식별정보를 확인하는 과정이 필요했습니다.


4. 글자월드 공지 및 개발중단

개발 과정에서 메이플스타 월드는 개발진이 메이플스토리에 대한 이해도를 높이기 위한 레퍼런스로 참고했습니다.
해당 월드를 베끼려는 의도는 없었습니다. 하지만 AI 툴로 리소스를 정리하는 과정에서
로컬 캐시 폴더에 남아 있던 메이플스타 원본 리소스까지 함께 불러와 적용되었고,
이를 제대로 검수하지 못한 채 급하게 공개하게 되었습니다.
이 내용은 넥슨 측에서 확인하여 공지한 내용과 같습니다.


이걸 정리해보면

메이플 스타 : 개발 과정에서 우리 리소스 담긴 빌드 쓴건 알겠고, 최종 CBT에서 쓸건 아니었다는거 알겠다. 
                   근데 리소스 어디서 났냐?

글자월드 : AI로 긁어오다가 긁혀온것 같다.

메이플 스타 : 우리는 리소스 어디에도 공개한 적 없다. AI가 어떻게 가져온건지, 경로를 정확히 알려달라.

메이플 월드 : 우리 AI 툴킷에서 권한이 없는 리소스의 정보를 조회할 수 있는 문제가 있는 취약점 발견했다.
                   그런데 그거는 1) 특정 리소스를 다운 받아주는게 아니고,
                                        2) 특정 리소스의 식별정보나, RUID값을 알아야 쓸 수 있다

글자월드 : AI툴 써서 리소스 정리하다가 로컬 캐시 파일인 메이플 스타 파일이 빌드에 사용되는 문제가 있었다.
               이 내용은 메월드에서 공지한거랑 같다.



더 요약하자면,

1) 글자월드는 메스타를 파쿠리 할 생각은 없었고, 개발 과정에서 사용했을 뿐인데, 
   실수로 영상 공개시에 그게 딸려 들어감
2) 글자월드가 사용하게 된 메스타 리소스는 
      ㄱ) 외부 AI가 가져온 메스타 리소스의 정보를 이용해서 
      ㄴ) 메월드 AI 툴킷이 조회해서 발생한 문제



여기서 문제가 되는 부분은

1. 메월드는 리소스 RUID를 안다고 해서 해당 리소스의 권한이 넘어오거나 다운받을 수 있는건 아니라 했음.
그런데 글자월드 공지에서는 AI가 정리하다가 로컬 캐시 파일(메스타 리소스)이 딸려가면서 발생한 문제라고 했음.

2. 메스타에서 요청한 해당 리소스를 획득하게 된 경로
   => 이거는 메월드 내 리소스를 그대로 사용한거라 문제 없음.

그런데 메스타 리소스의 정보(RUID 혹은 식별정보)가 AI가 조회할 수 있을 정도로 외부에 공개되어있다는 점


요거인데, 
제일 문제가 없는 부분으로 보더라도 메스타 리소스의 정보가
어쨌든 AI가 조회할 수 있을 정도로 새어나가 있다는 문제가 있다는 거네