EY·KPMG·딜로이트 보고서에서 드러난 출처 검증 문제

공개 보고서의 출처를 다시 확인한 결과

2026년 5월 EY, 6월 KPMG의 공개 보고서에서 출처 오류가 발견돼 보고서가 내려갔어요. GPTZero는 EY 보고서의 참고자료 27개 중 약 60%를 환각 인용으로 분류했어요. KPMG 보고서에서는 45개 인용 중 5개만 출처를 정확히 가리켰다고 밝혔고요. 다만 나머지 40개가 모두 완전히 지어낸 문서였다는 뜻은 아니에요. 실재 자료의 제목이나 저자 정보가 틀린 경우와, 자료를 특정하기 어려운 경우가 섞여 있었어요. 딜로이트의 사례까지 더하면 빅4¹ 중 세 곳의 보고서에서 인용 검증 문제가 드러난 셈이에요.

AI 탐지·인용 검증 도구를 만드는 GPTZero는 이런 오류를 ‘바이브 사이팅(vibe citing)’²이라고 불러요. 존재하지 않는 출처뿐 아니라 실제 문서의 제목과 저자 등을 그럴듯하게 변형한 인용도 포함하는 표현이에요.

저는 이 사례들을 보며 AI의 오류가 최종 결과물에 남기까지 누가 무엇을 확인했는지에 관심이 갔어요. 도구의 정확성을 높이는 일과 조직 안에서 출처를 확인하는 일은 함께 필요해요.

GPTZero가 조사한 보고서는 EY 캐나다의 「Points of Attack: Uncovering Cyber Threats and Fraud in Loyalty Systems」와 KPMG의 「Total Experience: Redefining Excellence in the Age of Agentic AI」예요. 두 조사에서 확인된 내용과 연구팀의 추정을 구분해 살펴볼게요.

EY: 존재하지 않는 참고자료와 맞지 않는 수치

EY의 보고서는 포인트와 마일리지 등 로열티 프로그램의 사이버 보안 취약점을 다뤘어요. 2025년 말 공개된 44쪽 보고서로, 파트너 2명과 시니어 매니저 1명이 저자로 이름을 올렸어요.

GPTZero는 본문의 인용과 보고서 말미의 참고자료 표를 확인하고 2026년 5월 14일 조사 결과를 공개했어요.

• 확인되지 않는 출처: 참고자료 상당수에서 링크가 깨져 있거나, 기재된 제목의 문서를 찾을 수 없었어요. 다만 링크가 열리지 않는다는 사실 하나만으로 문서가 처음부터 없었다고 단정할 수는 없어요.
• 가짜 맥킨지 보고서 인용: ‘Loyalty Economics Report(2022)’라는 출처를 확인할 수 없었어요. 조사팀은 같은 출처와 유사한 주장이 앞서 다른 핀테크 매체의 글에 실린 사실을 찾았어요.
• 서로 맞지 않는 수치: 앞에서는 전체 포인트 시장을 2,000억 달러, 미사용 비중을 30~50%라고 설명했는데, 뒤에서는 미사용 포인트 자체를 2,000억 달러라고 썼어요. 같은 범위의 수치라면 함께 성립하기 어려워요.
• AI 탐지 결과: GPTZero는 AI 탐지 점수도 제시했어요. 그러나 탐지기의 수치만으로 본문의 정확히 72%를 AI가 썼다고 확정할 수는 없어요. 출처와 주장을 직접 대조한 결과가 더 중요한 근거예요.

FT 보도에 따르면 EY는 보고서를 내리고 게재 경위를 검토한다고 밝혔어요. 고객 프로젝트와 관련된 보고서는 아니라는 설명도 했고요. 그 설명이 공개 보고서의 검증 책임을 없애지는 않지만, 회사가 작성 경위나 모든 데이터 출처를 전혀 모른다고 인정한 것으로 확대해서 읽을 수는 없어요.