보안 회사 Parameter의 연구원 Mukul Goyal이 10월 28일에 게시한 글에 따르면, 공격자는 공개 공유된 ChatGPT 대화에 정상적인 대화형 차트와 HTML 미리보기를 포함하여 게시할 수 있습니다. 피해자가 공유 링크를 열면(가장 안정적인 재현을 위해서는 미리보기 버튼을 한 번 클릭해야 하며, 자동 미리보기로 설정된 경우 링크를 열기만 하면 됩니다), 공격 코드가 chatgpt.com의 신원으로 피해자의 로그인 세션에서 실행되어 대화 목록을 나열하고, 공유된 적 없는 개인 대화를 읽어 외부 서버로 전송할 수 있습니다. 연구자는 OpenAI가 10월 26일에 이를 수정했으며, 심각도 등급은 P1이고 총 상금은 5000달러라고 밝혔습니다.
신뢰도: 낮음(40) · 확인 대기 · 사건 발생 시간 2026-10-28
이유
- 공격 체인은 각각 단독으로는 합리적으로 보이는 여러 기능으로 구성됩니다. 차트가 로드하는 수학 키보드 라이브러리인 MathLive는 메인 페이지에서 크로스 윈도우 메시지를 수신하지만 발신자를 검증하지 않으며, 원시 HTML을 페이지에 삽입하는 것을 허용합니다. 샌드박스 내의 HTML 미리보기는 이를 악용하여 메인 페이지에 샌드박스가 없는 iframe을 삽입하고, 콘텐츠 보안 정책(CSP) 화이트리스트에 포함된 YouTube oEmbed 엔드포인트의 JSONP 콜백을 통해 임의의 스크립트를 실행합니다.
- 채팅 제품에 코드 미리보기, 앱 등 실행 가능한 콘텐츠가 추가되면서 '샌드박스 내 코드가 누구와 통신할 수 있는가'가 새로운 공격 표면이 되었습니다. 연구자는 주입된 코드가 피해자의 신원으로 ChatGPT 웹 클라이언트의 모든 로그인된 엔드포인트를 호출할 수 있으며, 이는 대화 읽기에 국한되지 않는다고 밝혔습니다.
- Hacker News 토론은 낮은 상금에 집중되었습니다. 많은 이들이 P1 등급에 불과 5000달러를 지급하는 것은 연구자들이 OpenAI에 취약점을 보고하는 것을 꺼리게 만들 것이라고 주장했습니다.
활용
- 일반 사용자는 조치가 필요 없으며, 연구자는 취약점이 수정되었다고 밝혔습니다. 웹 기반 AI 제품을 개발하는 개발자는 기사에 제시된 방어 권장 사항을 참고할 수 있습니다: postMessage 수신 시 출처 주소와 윈도우를 동시에 검증하고, 크로스 윈도우 설정에서 원시 HTML을 전달하지 않으며, 동적으로 생성된 문서는 샌드박스를 유지하고, CSP는 최후의 방어선으로만 간주합니다. 원문은 parameter.ai/labs에서 확인할 수 있습니다.
리스크
- 현재 연구자의 자체 기사만 존재하며 OpenAI는 공식 성명을 발표하지 않았습니다. 수정 날짜, P1 등급 및 상금 금액은 모두 연구자가 제공한 타임라인에 근거합니다.
- 취약점이 수정되기 전에 다른 사람에 의해 악용되었는지 여부는 기사에 명시되어 있지 않으며, OpenAI도 이를 공개하지 않았습니다.