ChatGPT 공유 링크 취약점, 샌드박스 밖의 신뢰 문제

무엇이 공개됐나: 수정된 취약점과 실증 범위

보안 연구팀 Parameter는 10월 28일 ChatGPT 공유 링크 관련 연구를 공개했다. 연구진에 따르면 공격자가 만든 공개 대화의 그래프와 HTML 미리보기를 조합해, 링크를 연 다른 이용자의 로그인된 ChatGPT 웹 세션에서 코드를 실행할 수 있었다. 이는 모델이 지시를 잘못 따르는 문제라기보다 브라우저 애플리케이션의 신뢰 경계 문제다.

연구진은 다른 계정의 비공개 대화 목록과 특정 대화 내용을 읽고, 일부 데이터를 연구팀 서버로 전송하는 통제된 실증을 했다고 밝혔다. 첫 재현에는 미리보기 클릭이 필요했고, 이후에는 링크를 여는 것만으로 미리보기가 시작되는 경로를 별도 계정에서 세 차례 재현했다고 설명한다. 모든 사용 환경에서 동일한 성공률을 측정한 대규모 실험은 아니다.

보고서의 일정에 따르면 10월 18일 제보 후 OpenAI가 문제를 재현했고, 10월 26일 두 웹 프런트엔드의 수정 완료를 확인했다. 심각도는 P1, 총 포상금은 5,000달러로 제시됐다. 이 일정과 등급은 연구팀의 공개 설명에 근거한다. 현재도 동일한 공격이 가능하다거나 실제 이용자 피해가 확인됐다는 의미로 확대해서는 안 된다.

격리 자체보다 격리를 가로지르는 통신이 문제였다

미리보기는 별도 웹 출처에서 실행돼 상위 ChatGPT 문서에 직접 접근할 수 없었다. 문제는 그래프 기능이 상위 페이지에 불러온 MathLive 구성요소였다. 이 구성요소가 프레임 메시지를 받고 화면 설정을 바꾸는 과정에서 발신자를 충분히 검증하지 않았다는 것이 연구팀의 설명이다.

MDN의 postMessage 문서는 서로 다른 창이나 프레임 사이 통신의 보안 기준을 설명한다. 메시지가 예상한 형식을 갖췄다는 사실과, 그 메시지를 보낼 권한이 있는 창에서 왔다는 사실은 다르다. 출처와 실제 발신 창을 함께 확인해야 하는 이유다.

이번 보고서는 신뢰할 수 없는 설정 데이터가 상위 페이지의 HTML 렌더링으로 연결되고, 새 문서가 생성되며 인증된 페이지의 권한을 얻는 흐름을 설명한다. 공격 코드를 복제할 필요 없이 얻을 수 있는 교훈은 명확하다. 데이터 입력으로 시작한 경로가 어디에서 실행 가능한 문서로 바뀌는지를 추적해야 한다.

보안 계층은 서로 대체할 수 없다

iframe 문서와 CSP 안내는 각각 문서 격리와 리소스 실행 제한의 역할을 설명한다. 연구팀은 허용된 외부 스크립트 출처를 이용해 CSP 장벽을 넘었다고 보고했다. 그러나 특정 외부 주소 하나를 차단하는 것만으로 메시지 신뢰 문제가 해결되는 것은 아니다.

따라서 보안 리뷰의 단위는 단일 컴포넌트가 아니라 공유 링크, 그래프, 미리보기, 로그인 상태를 포함한 전체 화면이다. 기능별 테스트가 모두 통과해도 서로 연결했을 때 권한이 확대될 수 있다.

한국 기업의 AI 웹앱에 적용할 점검 순서

고객 상담 기록이나 내부 문서를 다루는 AI 서비스라면 공개 콘텐츠와 인증된 업무 화면을 함께 표시하는 지점부터 살펴볼 필요가 있다. 공유 대화, 생성된 차트, 문서 미리보기, 플러그인 화면을 한 페이지에 넣을수록 통신 경계가 늘어난다. 이는 기능을 없애야 한다는 뜻이 아니라 경계마다 책임자를 정하라는 뜻이다.

첫째, 프레임 메시지의 종류와 수신 대상을 목록으로 만든다. 둘째, 발신 창과 출처가 맞지 않으면 상태 변경을 거부하는지 확인한다. 셋째, 메시지가 HTML이나 새 문서 생성으로 이어지는 경로를 제한한다. 넷째, 테스트 계정과 합성 데이터로 다른 사용자의 비공개 정보에 도달할 수 없는지 회귀 검증한다. 실제 고객 데이터를 시험용 증거로 삼아서는 안 된다.

Claude Code 확장 침해 분석이 설치 경로와 잔존 권한을 다뤘다면, 이번 사건은 설치 없이 브라우저 내부의 기능 연결만으로 생긴 위험을 보여준다. Gheist의 GitHub 토큰 악용과 함께 보면 공통점은 모델 성능보다 이미 부여된 인증 권한의 범위가 피해를 결정한다는 것이다.

장기적으로는 Mintive의 에이전트 신원 관리에서 다룬 분리 원칙을 화면에도 적용할 수 있다. 사람이 로그인한 세션의 모든 권한을 생성 콘텐츠와 같은 실행 환경에 모으지 않고, 기능별로 필요한 데이터와 동작만 전달하는 구조다. 이 사건이 특정 설계의 안전성을 보증하는 것은 아니지만 점검의 우선순위를 제시한다.

FAQ

ChatGPT 전체 계정이 실제로 유출됐다는 뜻인가?

아니다. 공개된 것은 연구팀이 통제된 환경에서 수행한 계정 간 접근 실증이다. 대규모 침해나 피해자 수는 이 보고서로 확인되지 않는다.

현재도 취약점이 열려 있나?

연구진은 10월 26일 OpenAI가 두 프런트엔드의 수정을 확인했다고 밝혔다. 여기서는 수정 이후 공격 가능성을 별도로 시험하지 않았다.

프롬프트 인젝션과 같은 문제인가?

핵심은 브라우저의 메시지 처리와 HTML 렌더링 경계다. 모델이 악성 지시를 따르는 문제와 분리해 분석해야 한다.

CSP가 있으면 안전하지 않나?

CSP는 중요한 보조 방어다. 발신자 검증이나 안전한 렌더링이 빠진 상태를 자동으로 복구해 주는 장치는 아니다.

기업 개발팀은 무엇부터 확인해야 하나?

공개 콘텐츠를 로그인 화면에 넣는 기능과 프레임 간 상태 변경 메시지부터 점검하는 것이 합리적이다. 수정 검증에는 합성 데이터와 테스트 계정을 사용한다.