"보안을 최대로 올려 두는 설정까지 뚫렸다면, 무엇을 믿어야 하나?" 챗GPT 락다운 모드 소식을 본 보안 담당자들이 가장 먼저 한 질문입니다. 결론부터 말하면, 이 결함은 9월 18일에 이미 고쳐졌고 이용자가 할 일은 없습니다. 다만 우회 방식은 AI 앱의 보안 기능이 모델이 아니라 주변 화면 코드 때문에 무너질 수 있다는 점을 보여 줘, 회사에서 AI를 쓰는 방식은 한 번 점검할 만합니다.
챗GPT 락다운 모드 우회 취약점 정리｜HTML 미리보기 팝업으로 대화 유출, 9월 패치 완료와 켜야 할 사람
목차 (8)
✅ 이 글에서 얻을 수 있는 것
1. 락다운 모드가 원래 막는 것과 켜야 하는 사람
2. 보호가 풀린 원리를 개발자 관점에서 짧게
3. 기업 보안 담당자가 이번 주에 확인할 것
한눈에 보는 사건 요약
| 항목 | 내용 |
|---|---|
| 발견 | 체크포인트 리서치(연구원 Alexey Bukhteyev) |
| 공개 | 2026년 11월 5일 보고서 |
| 수정 | 2026년 9월 18일 오픈AI 배포(공개 전 수정) |
| 원인 위치 | 코드 블록의 HTML 미리보기 샌드박스 |
| 가능했던 일 | 대화 기록·업로드 파일 유출, 가짜 업데이트 창, 강제 로그아웃 뒤 가짜 로그인 |
| 가장 위험했던 환경 | 데스크톱 앱 챗GPT 클래식(대화만 해도 유출, 클릭 불필요) |
| 이용자 조치 | 없음(서버 쪽에서 수정) |
락다운 모드는 원래 무엇을 막나
AI가 읽는 문서나 메일 속에 숨은 지시문으로 AI를 조종하는 공격을 프롬프트 인젝션이라고 합니다. 위험한 것은 AI가 속아서 공격자 주소?data=비공개내용 같은 요청을 보내는 순간입니다. 화면에는 아무 일도 없어 보이는데 정보는 공격자 서버 기록에 남습니다.
락다운 모드는 이 "밖으로 나가는 길"을 통째로 닫는 선택 설정입니다. 설정 > 보안에서 켜며, 기업용 요금제에는 2월 13일, 개인 계정에는 6월 4일 들어왔습니다.
그래서 켜는 순간 편의 기능도 같이 줄어듭니다. 딥 리서치나 에이전트 모드를 매일 쓰는 사람에게는 부담이 큰 설정입니다.
보호가 풀린 원리 (개발자용 요약)
미리보기는 이용자나 AI가 만든 HTML·자바스크립트를 화면에 그려 주는 기능이라, 오픈AI는 이를 두 겹의 iframe 샌드박스에 가두고 외부 전송·외부 링크마다 승인 창을 띄우게 해 두었습니다. 문제는 세부 설정 두 군데가 서로 어긋나 있었다는 점입니다.
| 단계 | 어긋난 지점 |
|---|---|
| 권한 | 바깥 iframe 의 sandbox 속성에 allow-popups, allow-popups-to-escape-sandbox 가 남아 있음 |
| 감시 | 팝업은 권한 대신 스크립트로 window.open 을 바꿔치기해 승인 창을 띄우는 방식으로 통제 |
| 빈틈 | 바꿔치기는 그 문서의 window 에만 적용 → 페이지 안에 iframe 을 하나 더 만들고 그 창의 open 을 부르면 원래 함수가 그대로 동작 |
| 결과 | 승인 없이 열린 팝업은 샌드박스 바깥에서 실행되고, 락다운 모드의 차단도 이 경로에는 걸리지 않음 |
오픈AI의 수정도 이 지점을 겨냥했습니다. 미리보기 iframe 에서 두 팝업 권한 자체를 지워, 함수 바꿔치기에 기대지 않고 브라우저 차원에서 팝업을 막도록 바꿨습니다.
💡 개발자 교훈: 위험한 브라우저 API 를 스크립트로 덮어써서 막는 방식은 다른 창(중첩 iframe, 새 창)의 같은 API 로 쉽게 돌아갈 수 있습니다. 막고 싶은 동작은 sandbox 속성에서 권한을 빼는 쪽이 기본이고, 덮어쓰기는 보조 수단으로만 쓰세요.
📌 함께 보면 좋은 가이드: 챗GPT 공유 링크 취약점 정리 — 같은 미리보기 주변에서 나온 다른 결함(계정 탈취 경로)입니다.
실제로 어떤 공격이 가능했나
체크포인트는 악성 프롬프트, 악성 맞춤형 GPT, 공유 대화 세 가지 출발점을 제시했습니다.
- 가짜 업데이트 창: 열린 팝업은 챗GPT 아이콘을 달고 있고 제목은 공격자가 정합니다. "업데이트 설치" 같은 문구로 악성 파일을 받게 만들 수 있었습니다. 브라우저에서는 공유 대화 링크만 열어도 되고 계정도 필요 없었습니다.
- 클릭 없는 유출(챗GPT 클래식): 일렉트론 기반 데스크톱 앱에서는 사용자 동작 없이도 팝업이 열려, 대화 전체와 업로드 파일이 조용히 외부로 나갈 수 있었습니다.
- 가짜 로그인: 메인 창을 새로 불러와 강제로 로그아웃시킨 뒤, 다시 로그인하라는 가짜 화면으로 비밀번호를 노리는 시나리오도 시연됐습니다.
세 경우 모두 모델이 속은 것이 아니라 앱 화면 코드의 권한 설정이 출발점이었다는 점이 이번 사건의 핵심입니다.
락다운 모드, 누가 켜야 하나
| 이런 사람 | 권장 |
|---|---|
| 경영진·보안팀·법무처럼 노릴 만한 정보가 많은 사람 | 켜는 것을 검토 |
| 외부 메일·문서를 AI에 자주 읽히면서 사내 기밀도 같은 계정에 올리는 사람 | 켜거나 계정을 분리 |
| 딥 리서치·에이전트 모드·커넥터가 업무 핵심인 사람 | 끄고, 민감 자료를 올리지 않는 규칙으로 대신 |
| 일반 개인 이용자 | 오픈AI 설명대로 대부분 필요 없음 |
기업 보안 담당자 체크리스트
- 패치 여부 확인은 끝: 서버 쪽 수정이라 사내 배포할 것은 없습니다. 다만 직원들이 오래된 데스크톱 앱을 쓰는지는 함께 점검하세요.
- 공유 대화 열람 규칙: 외부에서 받은 챗GPT 공유 링크 안의 버튼·미리보기·"업데이트" 안내는 누르지 않도록 공지합니다.
- AI 사용 가시성: 어떤 계정이 어떤 커넥터와 파일을 쓰는지 관리 콘솔에서 확인할 수 있게 해 둡니다.
- 민감 데이터 기준: 락다운 모드 같은 설정이 있어도 완벽한 보장은 아니므로, 올려도 되는 자료 등급을 문서로 정해 둡니다.
- 확장·데스크톱 앱 출처: AI 도구의 데스크톱 앱과 확장 프로그램은 공식 경로로만 설치하게 합니다.
맺음말
- 챗GPT 락다운 모드 우회 결함은 9월 18일 수정됐고, 이용자가 할 조치는 없습니다.
- 원인은 HTML 미리보기 iframe 의 팝업 권한과, 최상위 창에만 걸어 둔
window.open감시의 빈틈이었습니다. - 락다운 모드는 민감 정보를 다루는 소수를 위한 설정이며, 기업은 공유 링크 열람 규칙과 데이터 기준을 함께 갖추는 편이 현실적입니다.
공식 자료
- ChatGPT Lockdown Mode Bypass: Phishing, Malware Delivery, and Silent Data Exfiltration (Check Point Research, 2026-11-05)
- 체크포인트, 챗GPT 락다운 모드 뚫었다 (위키트리, 2026-11-07)
👉 다음에 읽을 글
- OpenAI 버그바운티 보상 상향 — 이런 결함을 신고하면 받을 수 있는 보상 기준입니다.
- LiteLLM 1.107.0 악성코드 정리 — AI 개발 도구 주변에서 생긴 또 다른 보안 사고입니다.
자주 묻는 질문
- 지금도 이 취약점이 위험한가요?
- 아닙니다. 오픈AI는 2026년 9월 18일 미리보기 iframe 에서 팝업 관련 권한 두 가지를 없애 수정했고, 체크포인트가 다시 시험해 우회가 더 이상 되지 않는 것을 확인했습니다. 이용자가 따로 설치하거나 바꿀 것은 없습니다.
- 락다운 모드는 어디서 켜나요?
- 챗GPT 설정의 보안 메뉴에서 켭니다. 기업용 요금제에는 2026년 2월 13일, 개인 계정에는 6월 4일부터 제공됐습니다.
- 락다운 모드를 켜면 어떤 기능이 꺼지나요?
- 웹 검색은 캐시된 콘텐츠로만 제한되고, 인터넷 이미지 표시와 캔버스가 만든 코드의 네트워크 요청이 막힙니다. 딥 리서치, 에이전트 모드, 실시간 커넥터, 파일 다운로드는 쓸 수 없습니다.
- 누구나 락다운 모드를 켜야 하나요?
- 오픈AI는 경영진이나 보안팀처럼 노릴 만한 정보가 많은 사람을 위한 기능이라고 설명하며, 대부분의 이용자에게는 필요하지 않다고 봅니다. 민감한 자료를 다루면서 외부 문서·메일을 AI에 자주 읽히는 사람이라면 검토할 만합니다.
- 이번 결함과 11월 초 알려진 공유 링크 취약점은 같은 건가요?
- 둘 다 챗GPT의 HTML 미리보기 주변에서 나왔지만 체크포인트는 같은 구성 요소의 서로 다른 취약점이라고 설명했습니다. 공유 링크 건은 Parameter Labs가 찾은 계정 탈취 경로입니다.
