ChatGPT 공유 링크 취약점 수정…비공개 대화도 읽을 수 있었다

보안 연구팀 Parameter가 2026년 10월 28일, 공격자가 만든 ChatGPT 공유 링크로 로그인한 사용자의 비공개 대화에 접근할 수 있었던 취약점을 공개했습니다. 연구 보고서에 따르면 OpenAI는 공개에 앞선 10월 26일 수정을 마쳤습니다.

공유하지 않은 대화까지 읽은 통제 실험

연구팀은 서로 다른 계정 사이에서 공격용 공유 대화를 여는 상황을 시험했습니다. 로그인한 사용자의 대화 목록을 조회하고, 공격자에게 공유한 적 없는 별도의 비공개 대화를 읽은 뒤, 그중 일부 데이터를 연구팀 서버로 전송했다고 밝혔습니다. 코드는 로그인된 ChatGPT와 같은 권한으로 실행됐기 때문에, 정상적인 ChatGPT 주소라는 점만으로는 당시의 공격을 피할 수 없었습니다.

안정적으로 재현된 방식에서는 공유 링크를 연 뒤 미리보기(Preview) 버튼을 한 번 눌러야 했습니다. 이후 연구팀은 HTML 미리보기가 자동으로 열리는 변형을 별도 계정에서 세 차례 재현했습니다. 이 방식에서는 링크를 여는 것만으로 코드가 실행됐으며, 앱 설치나 코드 붙여넣기는 필요하지 않았다고 설명했습니다.

그래프와 미리보기가 연결되며 생긴 틈

HTML 미리보기를 별도 공간에 가두는 샌드박스 자체는 작동했습니다. 하지만 그래프를 표시할 때 불러오는 수학 입력 도구 MathLive는 메시지를 보낸 창의 출처와 권한을 제대로 확인하지 않았습니다. 그 결과 미리보기에서 보낸 지시로 가상 키보드의 모양을 바꿀 수 있었고, 여기에 HTML도 넣을 수 있었습니다.

그 HTML로 만들어진 새 문서는 샌드박스로 격리되지 않은 채 ChatGPT 본문 페이지와 같은 웹사이트로 취급됐습니다. 연구팀은 콘텐츠 보안 정책(CSP)이 허용하던 YouTube의 스크립트 응답 경로를 이용해 이 문서 안에서 코드를 실행했습니다. 웹 화면의 권한 경계가 뚫린 문제로, AI의 오답이나 프롬프트 주입, YouTube 영상 속 악성코드 때문에 생긴 취약점은 아닙니다.

10월 26일 차단된 공격 경로

연구팀은 10월 18일 OpenAI에 문제를 제보했습니다. 보고서에 따르면 OpenAI는 심각도를 P1으로 분류했으며, 10월 26일 당시 운영 중이던 두 웹 버전 모두에서 연구에 쓰인 MathLive 메시지를 거부하도록 수정했다고 연구팀에 확인했습니다. 연구 내용은 수정 이후인 10월 28일 공개됐습니다.

이 보고서는 연구팀의 통제 실험을 다뤘으며, 대규모 유출이나 실제 범죄 악용이 확인됐다는 내용은 담고 있지 않습니다. 평소에도 예상치 못한 공유 링크는 신중하게 여는 편이 좋습니다.