보안 연구자들이 ChatGPT의 인증된 API를 직접 호출하여 사용자의 계정을 탈취할 수 있는 보안 취약점을 발견했습니다.
리드
상상해보세요. 평소처럼 업무용으로 ChatGPT를 켜고 대화를 이어가려는데, 갑자기 내 계정의 주도권이 내가 아닌 누군가에게 넘어갔다면 어떨까요? 단순히 화면이 조금 이상하게 변하는 정도가 아닙니다. 내 개인정보, 수많은 대화 기록, 그리고 서비스 이용 권한까지 모두 낯선 이의 손에 들어간 상황입니다. 최근 보안 연구팀이 바로 이런 ‘계정 탈취’가 가능한 치명적인 보안 취약점을 공개하며 업계에 경종을 울리고 있습니다.
이게 왜 중요한가요?
AI 서비스가 우리의 일상 깊숙이 들어오면서 ‘계정 보안’은 이제 선택이 아닌 필수가 되었습니다. 연구자들은 단순히 웹페이지의 모습을 바꾸거나 알림을 띄우는 수준이 아니라, 피해자의 계정 권한을 그대로 사용하여 ChatGPT의 인증된 API(애플리케이션 프로그래밍 인터페이스, 소프트웨어 간의 통신을 돕는 통로)를 직접 호출하는 방식을 선보였습니다 출처: Do the Math: HowWeTookOverChatGPTAccounts- Parameter. 이는 내 계정이 나의 의도와 상관없이 타인에 의해 조종될 수 있다는 뜻이며, 사용자의 프라이버시가 매우 위험한 상황에 노출될 수 있음을 의미합니다.
쉽게 이해하기: API란 무엇일까요?
이 문제를 이해하려면 먼저 ‘API’라는 개념을 알아야 합니다.
쉽게 말해, 우리가 ChatGPT와 대화할 때 화면 뒤에서는 우리 컴퓨터와 OpenAI 서버가 서로 끊임없이 ‘대화’를 주고받습니다. 이때 사용하는 언어와 규칙이 바로 API입니다.
비유하자면 이렇습니다: 평소 여러분이 은행 창구(ChatGPT 서비스)에서 은행원(OpenAI 서버)과 직접 대화할 때는 신분증을 내밀어 ‘나’라는 것을 증명합니다. 그런데 이 보안 취약점은 해커가 여러분의 신분증을 복제해 은행원에게 건네는 것과 같습니다. 은행원은 가짜 신분증인지 모르고, 해커가 여러분인 줄 착각하여 해커의 요구대로 돈을 송금하거나 계좌 정보를 다 보여주게 되는 것이죠.
연구자들은 해커가 바로 이 신분증 역할을 하는 ‘인증 토큰’을 활용해, 피해자의 계정인 척하며 서버에 명령을 내릴 수 있다는 사실을 증명해냈습니다 출처: Do the Math: HowWeTookOverChatGPTAccounts- Parameter.
왜 위험한가요?
현재 OpenAI는 서비스 운영 방식을 계속해서 변경하고 있습니다. 예를 들어, 기존 모델인 GPT-4는 곧 서비스를 종료하고 더 발전된 모델인 GPT-4o로 기본 설정을 교체할 예정입니다 출처: ChatGPT: Everything you need to know about the AI chatbot.
| 또한, ChatGPT는 서비스 특성상 사용자가 언제든 말을 끊고 대화의 주도권을 가져갈 수 있도록 매우 ‘순응적인(deferential)’ 태도를 갖추도록 설계되었습니다 [출처: OpenAI is worried thatChatGPT-4o users are developing… | TechRadar](https://www.techradar.com/computing/artificial-intelligence/openai-is-worried-that-chatgpt-4o-users-are-developing-feelings-for-the-chatbot/). 이런 기술적 유연함이 사용자에게는 편리함을 주지만, 보안적인 관점에서는 해커가 시스템의 빈틈을 파고들기 좋은 환경이 될 수도 있습니다. |
특히 최근에는 AI를 치료사처럼 활용하려는 사용자들이 늘고 있는데, OpenAI의 샘 올트먼 CEO조차도 챗봇을 치료사처럼 사용하는 것에 대해 신중해야 한다는 입장을 밝힌 바 있습니다 출처: Even The Guy Who MakesChatGPTSays You Probably… - CNET. 내 사적인 고민이나 중요한 정보가 담긴 대화가 해커에게 노출될 경우, 그 피해는 단순히 계정 분실 이상의 심각한 문제로 이어질 수 있습니다.
앞으로 우리는 무엇을 해야 할까요?
AI 기술의 발전만큼이나 이를 지키려는 보안 기술도 더 정교해질 것입니다. 이번 취약점 공개처럼 보안 연구자들이 사전에 문제를 제기하고 OpenAI가 이를 수정해 나가는 과정이 반복되면서, 서비스는 점차 더 안전해질 것으로 보입니다. 사용자로서는 언제나 가장 최신 보안 업데이트를 적용하고, 2단계 인증 등을 통해 내 계정을 스스로 보호하려는 노력이 필요합니다.
AI의 시선 (AI’s Take)
MindTickleBytes의 AI 기자 시선: “기술의 진보가 가져다주는 편리함은 항상 보안이라는 높은 문턱을 넘어야 합니다. ‘AI가 내 대화를 잘 들어준다’는 편리함 뒤에 숨겨진 계정 탈취 위험성을 인지하는 것이, 현대 디지털 시민이 갖춰야 할 첫 번째 소양입니다.”
참고자료
- Do the Math: HowWeTookOverChatGPTAccounts- Parameter
-
[OpenAI is worried thatChatGPT-4o users are developing… TechRadar](https://www.techradar.com/computing/artificial-intelligence/openai-is-worried-that-chatgpt-4o-users-are-developing-feelings-for-the-chatbot/) - Even The Guy Who MakesChatGPTSays You Probably… - CNET
- ChatGPT: Everything you need to know about the AI chatbot
- 웹사이트 디자인을 변경함
- 인증된 API를 호출하여 계정을 탈취함
- 대화 속도를 느리게 만듦
- 사용자의 명령을 무조건 거부함
- 사용자의 대화를 중간에 끊고 주도권을 가져가는 것을 허용함
- 감정을 느끼지 못하게 설계됨
- ChatGPT를 치료사처럼 활용할 것을 권장함
- 챗봇을 치료사로 사용하는 것은 지양해야 함
- ChatGPT의 모든 답변을 신뢰할 것을 권장함