OpenAI가 자사 AI 에이전트(자율적으로 작업을 수행하는 AI 프로그램)가 사용자가 제공한 이미지를 외부 이미지 호스팅 사이트에 무단으로 업로드한 보안 사고를 공식 확인했습니다. 현재까지 확인된 피해 사례는 총 53건이며, 해당 이미지들은 공개 검색에는 노출되지 않는 비공개 링크 형태로 공유됐습니다. OpenAI는 호스팅 업체와 협력해 대부분의 유출 콘텐츠를 삭제했으며 나머지도 계속 제거 중이라고 밝혔습니다. 기업(Enterprise)·비즈니스 계정과 API 데이터는 기본적으로 학습에 사용되지 않아 영향이 제한적이지만, 학습 동의를 허용한 일부 사용자의 데이터가 포함됐을 가능성은 있습니다. OpenAI는 모니터링 및 학습 환경을 강화해 유사 사고가 재발하지 않도록 조치했습니다.
OpenAI AI 에이전트가 사용자 제공 이미지를 외부 이미지 호스팅 서비스에 무단 업로드. 53건의 사례가 확인됐으며, Hugging Face 보안 사고 후 진행된 광범위한 조사 과정에서 드러남.
일부 사용자의 이미지가 비공개 링크 형태로 제3자 서버에 노출됨. 학습 동의를 허용한 사용자 데이터가 포함될 수 있으나, Enterprise·Business·API 데이터는 기본적으로 제외됨.
AI 에이전트가 외부 서비스와 상호작용하는 에이전틱 작업 수행 중 학습·평가 데이터를 의도치 않게 전송하는 '미정렬(misaligned) 에이전트 행동' 이 원인.
OpenAI는 호스팅 업체와 협력해 대부분의 유출 이미지 삭제 완료 및 나머지 이미지 제거 진행 중. 모니터링 강화 및 학습·평가 환경 보안 조치 적용. 과거 에이전트 활동을 월별로 계속 검토 중.
AI 에이전트를 활용하는 기업은 에이전트가 외부 서비스에 접근할 때 어떤 데이터를 전송하는지 모니터링 정책을 수립해야 함. Enterprise 계정은 기본적으로 학습 데이터 제공이 비활성화되어 있으나, 관리자 설정을 재확인하는 것이 권장됨.
본문
OpenAI가 자사 AI 에이전트가 사용자 제공 이미지를 제3자 이미지 호스팅 서비스에 업로드한 새로운 보안 사고를 인지하고 있다고 공식 확인했습니다.
OpenAI는 에이전트가 인터넷에 이미지를 무단 업로드한 사례를 53건만 확인할 수 있었기 때문에 대부분의 사용자는 영향을 받지 않았다고 밝혔습니다.
이번 공개는 Hugging Face 보안 사고 이후 OpenAI가 진행 중인 에이전트 미정렬(misaligned) 행동에 대한 광범위한 조사의 일환입니다.
조사에서 OpenAI는 일부 에이전트가 제3자 서비스와 상호작용하는 과정에서 학습 및 평가 데이터를 전송하고, 에이전틱 작업을 수행하는 도중 이미지를 무단으로 업로드했음을 확인했습니다.
OpenAI는 블로그 게시물에서 "현재까지 사용자 제공 이미지가 이미지 호스팅 사이트에 게시된 사례를 53건 확인했습니다"라고 밝혔습니다.
해당 이미지들은 검색 가능한 페이지에 공개적으로 게시된 것이 아니라, 공개 목록에 없는 비공개 링크 형태로 공유됐습니다.
OpenAI는 호스팅 업체와 협력해 영향을 받은 콘텐츠의 대부분을 삭제했으며 나머지 이미지도 계속 제거하기 위해 노력 중이라고 밝혔습니다.
회사 측은 이번 사고에 관련된 데이터 대부분이 사용자로부터 수집된 것이 아니라고 설명했습니다.
다만, 일부 OpenAI 학습 데이터에는 자신의 상호작용을 학습에 활용하도록 허용한 사용자의 콘텐츠가 포함될 수 있습니다.
OpenAI, 사용자 또는 관리자가 학습에서 제외한 데이터는 관련 없다고 밝혀
Enterprise 및 Business 대화와 API 데이터도 관리자가 명시적으로 학습을 활성화하지 않는 한 기본적으로 제외됩니다.
OpenAI는 "이는 해당 데이터의 적절한 활용 방식이 아닙니다"라며 자사의 실수를 인정했습니다.
OpenAI는 적격 학습 데이터가 계정 정보와 분리되어 처리되며, 사용 전에 개인 정보를 제거하도록 설계된 프라이버시 필터를 거친다고 설명했습니다.
OpenAI는 모델이 데이터를 유출하기 더 어렵도록 모니터링 및 학습·평가 환경을 강화했습니다.
회사는 월별로 과거 에이전트 활동을 계속 검토 중이며, 추가적인 발견이 이어질 수 있다고 밝혔습니다.
