受限文件无需登录即可访问
韩国食品药品安全部正面临审查。议员李素熙表示，她的办公室通过一项公开可用的生成式人工智能服务，从该监管机构的药品信息系统下载了2,672份临床试验文件，过程中无需登录、输入密码或侵入服务器。
目录
在2026年10月13日国会保健福利委员会审计中公布的数据揭示了两类不同风险。在取得的文件中，839份含有被指定为机密的企业信息，2,208份含有负责提交材料的工作人员手机号码。其他信息还包括姓名、电子邮件地址、评估结果，以及纳入临床试验分析的参与者群体。
李素熙是国民力量党该委员会成员。她表示，这些文件来自制药公司、医院、大学和研究机构提交的材料。相关信息在公开网站上似乎被隐藏，但在底层文件中仍可访问。
监管机构表示，正在调查原因，以及暴露的信息是否为实际临床试验结果数据。该机构负责人吴宥贞在国会审计中表示，访问权限已于当天清晨被封锁，机构正在检查更广泛的系统。
核心问题在于保密决定与技术执行之间存在落差。李素熙的办公室表示，该机构曾多次拒绝国会方面索取临床试验和审批记录的请求，其中当年她的办公室就提出过五次申请。然而，通过正式监督渠道无法取得的文件，却能从外部获取。
据称的访问途径并未公开。在通知监管机构、且该机构保证已阻止类似下载后，相关信息才予以披露，因此调查重点放在暴露范围和应对措施，而非如何重复操作。
文件数量说明了什么
2,672份文件是李素熙办公室取得的文件总数，并非已确认的所有可能可访问文件数量。审计相关报道并未公开确认受影响系统的完整清单，也未确定其他用户下载文件的总数。
含有手机号码的2,208份文件约占此次收集文件的82.6%；含有机密企业信息的839份约占31.4%。这两类文件可能重叠，因此将两者相加不能得出受影响文件的有效总数。
这些数字统计的是文件，而非个人或企业。一人的联系方式可能出现在多份文件中，一份文件也可能包含多人的信息。因此，个人信息遭到暴露的人数尚不清楚。
李素熙办公室介绍的内容不止联系方式。据称，文件还包括药物疗效和严重不良反应的研究结果。在经检查的文件中，也发现了评估结果和分析人群信息。分析人群是指其数据被纳入特定计算的试验参与者群体，例如用于评估疗效或安全性。
尽管此次事件发生在另有报道称部分国立大学医院患者和员工信息遭到暴露之后，但目前没有证据表明这些事件与本案存在技术关联。也没有证据显示本案涉及可识别身份的试验参与者记录。此处明确提及的个人信息涉及工作人员和材料提交联系人。
人工智能做了什么，还有哪些未知
在审计会上，李素熙指出，用于从名为“医药品安全韩国”的药品信息平台获取文件的服务是ChatGPT。其他报道则笼统称其为生成式人工智能。她表示，下载文件既不需要身份验证，也不涉及黑客入侵。
生成式人工智能可以帮助用户与信息服务交互，但它的参与并不能证明系统突破了安全控制。相关说法反而表明，尽管网站将这些文件列为受限内容，文件仍可被获取。隐藏网页上可见的信息，与阻止他人访问其中包含该信息的文件，是两回事。
具体的技术故障尚未查明。监管机构尚未公开指出问题究竟出在文件权限、文件交付方式，还是服务的其他环节。因此，现在就将某种特定软件漏洞认定为已确认原因还为时过早。
李素熙警告称，外国竞争对手或黑客组织可能获取这些材料，她谈的是此次暴露可能波及的范围，并非证明这两类对象实际下载了文件。要确认是谁访问了文件，必须检查系统记录。
通知与封锁时间线存在争议
国会问答显示，李素熙所称其办公室通知该机构的时间，与该机构负责人所称自己得知事件的时间存在差距。10月13日审计会上介绍的时间线如下：
- 2026年10月11日：李素熙称，她的办公室通过信息请求提醒监管机构，但没有收到实质性回复。
- 10月12日：吴宥贞称，该机构得知信息暴露事件。她提到当晚召开了会议，并指示尽快联系议员办公室。
- 10月13日清晨：吴宥贞称，访问权限已被封锁。
- 10月13日：李素熙在国会审计中公布文件数量，并要求监管机构提交书面说明，交代应对情况。
10月13日发布的报道称，监管机构表示已停止类似下载后，才对外披露事件。这一时间顺序支持了该机构关于封锁措施先于公开报道实施的说法，但不能独立证明封锁措施是否全面有效。
李素熙要求该机构在审计结束前以书面形式提供准确的通知、知悉和封锁时间。这些时间点很重要，因为它们可以确认监管机构收到警告后，访问权限持续了多久，以及警告是否及时传达给系统负责人。
国会监督权限与公共利益例外
这起安全事件也加剧了围绕监管机构如何适用保密规定的争议。李素熙表示，在过去十年里，临床试验、许可和审评文件一直被拒绝向国会提供；2026年她的办公室提出的五次申请遭拒，理由之一是企业反对公开。
审计会上公布的一项更具体统计涉及十年间的96起信息公开案例。据李素熙介绍，其中95起仍列为机密。唯一公开的案例是应企业要求披露的，并非监管机构独立认定有必要基于公共利益予以公开。
这一差异有助于解释为何“没有公开过任何记录”的笼统说法，与显示曾公开一例的统计数字并不矛盾。审计数据表明，所列案例中有一例公开，但没有一例是基于公共利益决定公开。这些数据并未说明该机构持有的所有记录分别处于何种状态。
李素熙认为，《药事法》允许在符合公共利益需要时披露信息，但实际上这一例外从未得到运用。争议涉及不良药物反应和医疗事故相关记录，以及议员要求提供的疫苗和治疗授权、审评材料。
当被问及是否有内部文件记录该机构在争议披露决定中对商业机密与公共利益进行权衡时，吴宥贞表示没有此类文件。这一答复使该决定的依据难以审查，但本身并不能证明机构没有进行过相关考量。
为何Genencell案也成为讨论焦点
李素熙质疑监管机构时，Genencell相关请求是一个重点。据报道，该公司创始人在上诉后被判处四年监禁，此前他因提交虚假信息或缺少关键信息的材料，以获取新冠治疗临床试验批准而被定罪。
李素熙明确区分了这一判决与“监管机构的审批本身存在不当”这一结论。她表示，提出请求是为了审查该机构如何审核提交材料、要求补充哪些信息，以及其决定依据了什么证据。
据李素熙介绍，监管机构以商业机密为由拒绝提供所要求的Genencell审评材料。这一拒绝因外部仍能访问相关文件而更具争议：该机构一方面为正式披露设置限制，另一方面却面临技术保护措施未能可靠落实保密要求的证据。
不过，上诉定罪与信息暴露调查涉及不同问题。前者关乎与试验申请相关的行为，后者关乎他人访问监管机构系统中的文件。任何一项都不能决定另一项问题的答案，而且下载文件与所申请的Genencell记录之间的具体关系尚未说明。
监管机构的应对也受到质疑
李素熙还质疑监管机构在问题上报后的沟通方式。她表示，官员多次联系一名记者询问访问方式，并以可能损害国家利益为由要求延迟报道，却没有及时向她的办公室核实情况。
该机构对其目的作出了不同解释。吴宥贞称，提出这一请求是为了确保封锁措施到位，避免访问问题公开后造成进一步暴露。她承认，机构本应及时联系议员办公室，并为解释不到位道歉。
吴宥贞称，前一晚的会议曾指示工作人员尽快前往议员办公室，即使是在深夜也要前往；她还表示，据她了解，国会联络人员曾多次到访。双方联系的具体时间顺序仍待李素熙要求提交的书面说明予以交代。
双方还讨论了下载材料该如何处理。李素熙问文件能否公开时，吴宥贞回答称，这些文件似乎需要销毁。李素熙澄清说，她并非提议公开文件，而是在追问：既然信息如此敏感，为何监管机构没有更快联系持有这些文件的议员办公室。
这一问答凸显了两项责任：限制机密和个人信息进一步传播，同时保留查明事件经过所需的证据。李素熙还单独要求立即保存系统记录，以便记录访问情况，而无需更广泛地公开文件本身。
调查必须查明的问题
李素熙要求全面审查服务器访问记录，以确定谁下载了文件、信息何时开始暴露，以及监管机构为何没有发现。她还要求调查其他系统是否存在类似漏洞。
访问记录有助于确认文件何时被请求以及检索范围有多大，但不一定能识别每个请求背后的人员，尤其是在无需登录的情况下。要形成有依据的调查结论，必须区分记录到的请求、实际完成的下载，以及调查人员能够核实的身份信息。
监管机构仍需确认暴露文件的性质、查明原因，并确定受影响信息的完整范围。截至审计会时，信息暴露的起始日期、外部接收方数量以及是否发生后续滥用均未得到确认。
李素熙要求的紧急期限是国会审计结束前提交书面报告，内容涵盖访问权限封锁、首次发现问题的时间、实际封锁时间，以及与媒体的联系情况。相关报道没有给出完整技术调查报告的后续发布日期。
本案涉及两项彼此独立的问责考验：机密记录需要得到有效的访问保护；拒绝向合法监督机构提供文件的决定，也需要有可解释的依据。阻止据报的下载方式可以解决眼前的暴露途径，但无法说明这一问题持续了多久，也不能解决有关信息披露决定的争议。
要点
- 李素熙称，她的办公室无需登录或密码，便通过ChatGPT取得了2,672份临床试验文件。
- 其中839份含有机密企业信息，2,208份含有工作人员手机号码；两类文件可能重叠。
- 监管机构称，已于2026年10月13日清晨封锁访问权限，并正在调查原因及暴露信息的性质。
- 李素熙称，她的办公室于10月11日通知该机构；机构负责人吴宥贞则称，该机构于10月12日得知事件。
- 审计会上引用的一份十年信息公开清单共列出96起案例，其中95起仍保密，另有一起应企业要求公开。
- 信息暴露持续时间、外部接收方数量以及是否发生滥用仍未确认。李素熙要求保存记录并全面审查访问情况。
