Delve 논란: 보안 점검을 맡길 때 확인해야 할 것

규정 준수를 돕던 회사에 제기된 의혹

Delve는 기업이 SOC 2 감사¹를 준비하고 HIPAA²와 GDPR³ 같은 규정을 지키는 데 필요한 업무를 자동화하는 회사예요. 증거 자료를 모으고 문서를 작성하는 시간을 AI로 줄여주겠다고 홍보했어요. 2025년에는 기업가치 3억 달러로 3,200만 달러의 시리즈 A 투자를 받았고요.

그런데 2026년 3월부터 감사 자료를 부실하게 만들고 고객사의 오픈소스 코드를 출처 표시 없이 사용했다는 의혹이 잇따랐어요. 4월 4일에는 공동창업자 셀린 코칼라르가 YC와의 결별을 알렸어요. 회사는 제보 내용이 왜곡됐다며 반박했어요. 감사 자료가 실제 점검을 반영하는지, 오픈소스를 어떤 조건으로 사용했는지가 주요 쟁점이에요.

창업부터 2026년 4월 YC와의 결별까지

회사의 성장 과정과 의혹이 제기된 과정을 시간순으로 보면 이래요. 제보자가 공개한 자료에 관한 주장은 그 출처를 따로 적었어요.

2023년: MIT에서 만난 카룬 카우식과 셀린 코칼라르가 창업했어요. 창업자들은 의료 분야 서비스를 만들며 HIPAA 대응에 많은 시간과 돈을 썼던 경험이 컴플라이언스 사업으로 전환한 계기였다고 설명해요.

2024년 초: YC Winter 2024 프로그램에 참여했어요. 당시 공개 소개에서는 인프라 설정, 정책 문서, 모니터링을 통해 HIPAA 대응을 돕는다고 설명했어요.

2025년 1월: General Catalyst 등이 참여한 330만 달러 시드 투자 유치가 알려졌어요.

2025년 4월: DeepDelver가 공개한 자료에 따르면, Sim.ai가 Delve의 고객이 되어 SOC 2와 HIPAA 대응 서비스에 1만 5천 달러를 지불하기로 했어요. 같은 무렵 Delve가 Sim.ai의 공개 프로젝트 SimStudio를 자사 Pathways에 적용하기 시작했다는 것이 제보자의 주장이에요. 제보자는 이식할 구성 요소를 적은 내부 계획 문서도 제시했어요.

2025년 7월: Delve는 Insight Partners 주도로 3,200만 달러를 투자받았다고 발표했어요. 이때 제시한 기업가치가 3억 달러예요.

투자 유치와 YC 참여 이력은 Delve가 영업에서 내세울 수 있는 신뢰 요소였어요. 다만 이런 이력만으로 서비스의 점검 품질까지 확인되는 것은 아니에요.

2025년 말: DeepDelver는 고객 보고서와 연결된 스프레드시트 유출을 알리는 이메일을 받은 뒤 다른 고객들과 조사에 나섰다고 밝혔어요. 같은 시기 창업자들은 Forbes의 ‘30 Under 30’ AI 부문 2026년 명단에 이름을 올렸어요.

2026년 3월 19일: 익명 계정 DeepDelver의 첫 글이 공개됐어요. 제보자는 수백 개의 SOC 2 보고서 초안에 같은 문구와 감사 결론이 반복된다고 주장했어요. 예로 든 특정 문장이 494개 중 493개, 약 99.8%의 보고서에 있었다는 것이에요. 보고서 전체 내용의 유사도가 99.8%라는 분석과는 달라요.

2026년 3월 20일: Delve는 공식 블로그에서 의혹을 부인했어요. 최종 보고서와 의견은 독립 감사인이 발행하며, 고객은 감사인을 선택할 수 있다고 설명했어요. 문서 양식은 고객이 실제 상황에 맞게 검토하고 완성해야 하는 초안이고, 표준을 따르는 보고서 사이에 공통 문구가 생기는 것은 자연스럽다는 입장이었어요.

2026년 3월 23일: Insight Partners의 투자 소개 글이 한때 내려갔다고 보도됐어요. 해당 블로그 글은 이후 복구됐어요. 글이 사라졌다는 사실만으로 투자 철회나 의혹에 대한 투자사의 최종 판단을 알 수는 없어요.

2026년 3월 31일: DeepDelver는 SimStudio와 Pathways의 관계를 다룬 후속 글을 공개했어요. Sim.ai 측은 출처 표시 없이 자사 제품명으로 제공하도록 허용하는 별도 계약을 체결하지 않았다고 답했어요. 제보자는 Pathways가 기업 고객을 상대로 판매되고 있었다고 주장했어요.

2026년 4월 1일: TechCrunch가 Sim.ai 대표 에미르 카라베그에게 확인해 이 논란을 보도했어요. 4월 3일 Delve는 공식 반박문에서 Apache 2.0 프로젝트를 바탕으로 컴플라이언스 용도에 맞게 크게 수정했다고 밝혔어요. 동시에 감사인 네트워크 재정비, 활성 고객 대상 무료 재감사와 침투 테스트, 감사 업무에 연결된 자동화 중단 등을 발표했어요.

2026년 4월 4일: 코칼라르가 YC와의 결별을 알렸고, YC의 공개 기업 목록에서도 Delve가 빠졌다고 보도됐어요. 이 변화가 개별 의혹의 사실 여부나 법적 책임을 확정한 것은 아니에요.