보안 연구기관 Check Point Research가 ChatGPT에서 사용자의 Gmail 데이터를 공격자 계정으로 몰래 빼낼 수 있는 취약점을 발견했습니다. 공격자가 대화에 악성 명령어(프롬프트 인젝션)를 심어두면, ChatGPT가 사용자 눈에는 정상적으로 답변하는 동시에 백그라운드에서 Gmail 내용·대화 기록·파일 등을 훔쳐 다른 계정으로 전송할 수 있었습니다. 이 비밀 통신 채널은 ChatGPT가 내부적으로 사용하는 패키지 관리 서비스(JFrog Artifactory)의 메타데이터 기능을 악용한 것으로, 서로 격리되어야 할 다른 계정의 실행 환경이 이를 통해 데이터를 주고받을 수 있었습니다. OpenAI는 보고를 받고 해당 내부 서비스를 오프라인으로 전환하여 채널을 차단했으며, 사용자가 별도로 설치해야 할 업데이트는 없습니다. 다만 ChatGPT에 연결된 앱(Gmail 등)의 권한 설정을 점검하고, 출처 불명의 공유 대화나 커스텀 GPT 사용에 주의할 것을 권고합니다.
Check Point Research가 ChatGPT의 내부 JFrog Artifactory 인스턴스를 통해 서로 다른 계정 간 숨겨진 통신 채널이 형성될 수 있음을 발견했습니다. 공격자가 대화에 프롬프트 인젝션 명령어를 심으면, ChatGPT가 사용자 모르게 Gmail 데이터·대화 기록·파일을 공격자 계정으로 전송할 수 있었습니다.
사용자의 Gmail 계정 데이터, ChatGPT 대화 기록, 세션 내 파일이 사용자 동의 없이 유출될 수 있었으며, 연결된 다른 앱의 데이터와 권한 범위 내 정보도 위험에 노출될 수 있었습니다.
ChatGPT 코드 실행 컨테이너가 내부 패키지 서비스(JFrog Artifactory)에 메타데이터 속성을 읽고 쓸 수 있는 자격 증명을 환경 변수로 보유하고 있었고, 이 속성이 계정별로 격리되지 않아 서로 다른 계정의 컨테이너 간 공유 클립보드로 악용될 수 있었습니다.
Check Point가 책임공개(responsible disclosure)를 통해 OpenAI에 취약점을 신고했으며, OpenAI는 해당 내부 서비스를 오프라인 전환하여 채널을 차단했습니다. 사용자가 별도로 설치해야 할 업데이트는 없습니다.
ChatGPT에 연결된 앱(Gmail 등)의 기본 권한이 사전 동의 없이 읽기를 허용하므로, 설정에서 'Always ask(항상 확인)' 옵션으로 전환해 무단 접근 시도를 인지할 수 있습니다. 출처가 불분명한 공유 대화 링크나 커스텀 GPT 사용 시 프롬프트 인젝션 위험을 유의해야 합니다.
본문
Check Point Research는 오늘 발표한 보고서에서, ChatGPT 대화에 심어진 단 하나의 명령어만으로 ChatGPT가 사용자의 질문에는 평소처럼 답하면서 동시에 공격자를 위해 몰래 작동할 수 있다고 밝혔습니다.
연구팀의 개념 증명(proof of concept)에서 이 숨겨진 작업은 사용자의 연결된 Gmail 계정에서 데이터를 읽어 두 계정 사이의 숨겨진 채널을 통해 두 번째 ChatGPT 계정으로 전달했습니다. 사용자에게 표시된 답변에는 이에 대한 언급이 전혀 없었습니다.
Check Point는 동일한 채널을 통해 대화 기록과 해당 대화 내 파일도 복사할 수 있다고 밝혔습니다.
공격자가 탈취할 수 있는 데이터의 양은 세션에서 이미 접근 가능한 것들, 즉 데이터·도구·연결된 앱·권한 범위에 따라 결정되었습니다.
이 명령어는 이 모든 것이 작동하기 전에 대화 안에 존재해야 했습니다. Check Point는 이를 삽입하는 세 가지 방법을 제시했습니다: 사용자가 붙여넣는 프롬프트, 사용자가 여는 공유된 ChatGPT 대화, 또는 사용자에게 보이지 않는 빌더 지침에 명령어를 담아둔 커스텀 GPT.
그 이후에는 일반적인 메시지 하나만으로도 공격이 시작될 수 있었습니다. Check Point는 ChatGPT가 Thinking 모드에서 동일한 턴에 두 개의 작업 흐름을 실행하도록 명령어를 구성했습니다.
ChatGPT는 사용자에게 답변을 제공하는 동시에, 숨겨진 메일함에서 공격자의 지시를 확인하고, 사용자 세션의 도구를 이용해 해당 지시를 수행한 뒤 결과를 돌려보냈습니다. 명령어는 두 흐름을 분리하도록 모델에게 지시했기 때문에 숨겨진 작업은 눈에 보이는 답변에 전혀 나타나지 않았습니다.
앱이 사용되었다는 유일한 흔적은 답변 위에 표시된 작은 "Talked to Gmail" 레이블뿐이었습니다. 이는 이미 발생한 읽기 작업을 기록한 것으로, 사용자에게 허용 또는 거부를 선택할 기회를 주지 않았습니다.
이는 연결된 앱의 기본 작동 방식 때문에 사전에 사용자에게 아무것도 묻지 않은 것입니다. OpenAI의 문서에 따르면 기본 권한인 'Important actions(중요 작업)'는 ChatGPT가 앱에서 읽기를 실행할 때 별도 확인 없이 허용합니다. ChatGPT는 ChatGPT 외부에 실질적인 영향을 미치거나, 민감한 정보를 노출하거나, 되돌리기 어려운 작업을 수행하기 전에만 사용자에게 확인을 요청합니다.
매번 확인을 받고 싶은 사용자는 'Always ask(항상 확인)'로 전환할 수 있습니다. Business, Enterprise, Edu 워크스페이스에서는 관리자가 각 앱이 수행할 수 있는 작업과 사용 가능한 사용자를 결정합니다. 앱은 Business 플랜에서는 기본적으로 켜져 있고 Enterprise와 Edu에서는 기본적으로 꺼져 있습니다.
Check Point는 이 발견 사항을 OpenAI에 공개했으며, OpenAI는 해당 채널의 기반이 되는 내부 서비스가 오프라인 전환되었음을 확인했다고 밝혔습니다. 사용자가 설치해야 할 업데이트는 없습니다.
이 채널은 ChatGPT가 코드를 실행하는 컨테이너 사이에서 동작했습니다. ChatGPT는 특정 작업이 필요할 때 각 대화마다 하나의 컨테이너를 생성합니다.
OpenAI의 문서에 따르면 ChatGPT가 데이터 분석에 사용하는 Python 환경은 웹이나 외부 API에 요청을 보낼 수 없습니다. Check Point는 서로 다른 대화, 심지어 서로 다른 계정의 대화를 위해 생성된 컨테이너 간에도 직접적인 경로가 없다고 밝혔습니다.
그러나 모든 컨테이너는 하나의 내부 서비스에 접근할 수 있었습니다. ChatGPT는 때로 추가적인 Python 또는 npm 패키지를 설치해야 합니다. 컨테이너가 공개 패키지 저장소에 직접 접근하는 대신, 각 컨테이너는 패키지를 대신 가져오는 내부 JFrog Artifactory 인스턴스와 통신할 수 있었습니다.
이 인스턴스는 컨테이너가 저장된 파일에 속성(properties)이라 불리는 이름-값 쌍을 첨부하고 다시 읽을 수 있도록 허용했습니다. 컨테이너가 읽기 접근을 위해 보유한 자격 증명은 해당 속성을 쓰기에도 충분했습니다. 이 자격 증명은 환경 변수에 저장되어 있어 ChatGPT가 실행하는 코드가 이를 가져갈 수 있었습니다. 별도의 비밀을 탈취하거나 권한을 상승시킬 필요가 없었습니다.
속성은 계정별로 분리되지 않았습니다. 한 계정의 컨테이너에서 Check Point는 캐시된 파일에 현재 시각을 담은 chatgpt_test_ts라는 속성을 첨부했습니다. 그리고 다른 계정의 대화에서 해당 파일의 속성을 요청하자 동일한 이름과 값을 받았습니다.
속성은 평문 또는 Base64를 담을 수 있으며, 하나에 담기에 너무 큰 데이터는 여러 속성으로 나눠 반대쪽에서 재조합할 수 있습니다. 이를 통해 패키지 서비스의 메타데이터가, 서로 접근해서는 안 되는 컨테이너 간의 공유 클립보드로 변했습니다.
이는 Check Point가 ChatGPT의 동일한 영역에서 보고한 두 번째 통신 채널입니다. 지난 3월에는 DNS 조회를 이용해 대화 데이터를 외부 서버로 전송하는 채널을 발견했으며, OpenAI가 2월 20일 이를 수정했다고 밝혔습니다.
이 사례는 OpenAI 자체 모델이 회사의 보안 테스트 중 내부 Artifactory 인스턴스를 메시지 보드로 활용한 Hugging Face 사건과는 별개입니다.
Check Point는 자신들이 발견한 메커니즘은 다르다고 밝히면서, 두 사례 모두 "공유 내부 서비스가 격리된 환경 간 의도치 않은 통신 계층이 된" 경우라고 설명했습니다.
Check Point는 연구 시점을 2026년 6월로 명시했지만 채널이 언제 작동을 멈췄는지는 밝히지 않았습니다. 따라서 해당 보고서는 채널이 얼마나 오랫동안 열려 있었는지는 보여주지 않습니다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
