챗GPT 공유 링크 취약점 정리｜미리보기 한 번에 비공개 대화 유출 가능했던 P1 결함, 8일 만에 수정

"동료가 보낸 챗GPT 공유 링크, 그냥 열어도 될까요?" 대부분은 괜찮지만, 최근까지는 링크 하나로 내 비공개 대화가 새어 나갈 수 있는 결함이 있었습니다. 결론부터 말하면, 보안업체 Parameter가 찾은 이 결함은 10월 18일(현지) 제보 후 8일 만에 수정됐고, 이용자가 따로 할 조치는 없습니다. OpenAI는 최고 심각도인 P1으로 분류하고 보상금 5,000달러를 지급했습니다.

✅ 이 글에서 얻을 수 있는 것
1. 공격이 어떻게 작동했는지 (단계별)
2. 제보부터 수정까지 일정
3. 공유 링크를 다루는 습관

사건 한눈에

공격은 이렇게 작동했다

1. 공격자가 인터랙티브 그래프와 어시스턴트가 만든 HTML 미리보기를 담은 대화를 만들어 공개 링크로 공유합니다. 이메일, 메신저, 고객지원 티켓, SNS 어디로든 보낼 수 있습니다.
2. 피해자가 링크를 열면 그래프를 그리기 위해 수학 라이브러리 MathLive가 메인 챗GPT 페이지에 로드됩니다. MathLive는 화면 키보드 메시지를 받는 리스너를 남깁니다.
3. 피해자가 미리보기를 누르면 샌드박스 안의 미리보기가 메시지 두 개를 보냅니다. 리스너는 보낸 쪽을 확인하지 않고(출처 정책 "none") 키보드 배열 데이터라는 이름의 가공되지 않은 HTML을 받아들입니다.
4. 이 HTML이 innerHTML로 들어가고, 걸러 줘야 할 보조 함수는 입력을 그대로 돌려주는 래퍼였습니다. 주입된 HTML은 샌드박스 속성이 없는 새 프레임을 만들고, 브라우저는 이를 chatgpt.com의 일부로 취급합니다.
5. 콘텐츠 보안 정책(CSP)은 인라인 코드를 막았지만 유튜브 스크립트는 허용했습니다. 연구진은 콜백 값을 그대로 돌려주는 유튜브 엔드포인트로 스크립트를 실행시켰습니다.
6. 실행된 코드는 피해자의 세션 정보로 대화 API를 직접 호출해 비공개 대화를 열고, 선택한 값을 이미지 요청 형태로 외부 서버에 보냈습니다.

미리보기 샌드박스 자체는 끝까지 뚫리지 않았습니다. 같은 페이지에 함께 로드된 다른 기능이 옆문이 된 것입니다.

원인은 설계 세 가지

Parameter는 "CSP는 가치 있는 심층 방어책이지만 안전하지 않은 렌더링 경로를 안전하게 만들 수는 없다"고 적었습니다. 유튜브 단계는 마지막 우회 수단일 뿐, 이것만 막아도 구조적 문제는 남는다는 뜻입니다.

💡 개발자 관점 체크포인트: postMessage 수신 코드에서 event.origin을 반드시 확인하고, 외부 메시지로 받은 HTML은 살균(sanitize) 없이 innerHTML에 넣지 마세요. 서드파티 라이브러리가 남기는 리스너도 점검 대상입니다.

📌 함께 보면 좋은 가이드: Sign in with ChatGPT 정리 — 챗GPT 계정을 외부 앱에 연결할 때 권한을 관리하는 법입니다.

공유 링크 다루는 습관

맺음말

1. 챗GPT 공유 링크를 열고 미리보기 한 번으로 비공개 대화가 유출될 수 있던 P1 결함이 있었습니다.
2. 10월 18일(현지) 제보 후 8일 만에 서버 쪽에서 수정됐고, 이용자가 할 조치는 없습니다.
3. 그래도 공유된 AI 대화는 낯선 첨부파일처럼 다루고, 내 공유 링크는 주기적으로 정리하세요.

공식 자료

• 챗GPT 공유 링크 열고 버튼 한 번 누르면 공격자 코드 실행…비공개 대화 빼낼 수 있었다 (위키트리, 2026-11-01, The Hacker News·디지빈·Parameter 기술 문서 인용)

👉 다음에 읽을 글
- 가짜 클로드 코드 확장, 커서에서 최대 5,000명 설치 — 같은 주에 나온 AI 개발 도구 공급망 공격입니다.
- 챗GPT 채팅 잠금 사용법 — 민감한 대화를 PIN으로 잠그는 방법입니다.