무슨 일이 있었나
Parameter Labs는 (2026-10-28, OpenAI가 재현한 후 P2→P1로 상향) 공개 ChatGPT 공유 링크가 이를 열고 미리보기를 한 번 클릭한 모든 로그인 세션 내에서 공격자 제어 JavaScript를 실행할 수 있다고 공개했습니다 — 또는 이후 변형에서는 링크를 열기만 해도 가능했습니다. 샌드박스된 미리보기 프레임 자체는 작동했습니다; 탈출은 기본 chatgpt.com 페이지의 MathLive의 교차 프레임 메시지 리스너와 샌드박스되지 않은 iframe, YouTube 기반 CSP 우회를 통해 발생했습니다. OpenAI는 두 가지 프론트엔드 버전을 수정하고 $5,000 현상금을 지급했습니다; 실제 악용 사례는 보고되지 않았습니다.
왜 중요한가
ChatGPT는 가장 널리 사용되는 AI 제품이며, 공유 대화 링크는 이메일, 티켓, 채팅에 일상적으로 붙여넣어져 수신자가 chatgpt.com URL을 신뢰합니다. 이 익스플로잇 체인은 일반 공유 링크를 인증된 계정 탈취 및 개인 대화 유출로 변환합니다 — 경계 통제로 막을 수 없는 클라이언트 측 공격 표면이며, 검증되지 않은 postMessage + 관대한 CSP + 베어러 토큰 옆의 풍부한 신뢰할 수 없는 콘텐츠 패턴이 다른 AI 채팅/에이전트 플랫폼에서도 재발할 가능성이 높습니다.
공격 경로
일반 ChatGPT 공유 링크를 통해 전달되는 저장형/클라이언트 측 XSS 샌드박스 탈출. 악성 대화에 포함된 대화형 그래프가 타사 MathLive 라이브러리를 로드하며, 이 라이브러리의 가상 키보드 postMessage 리스너는 모든 출처의 메시지를 수락하고 innerHTML을 통해 신뢰된 chatgpt.com 페이지에 공격자 HTML을 작성합니다; 주입된 HTML은 chatgpt.com 출처를 상속하는 샌드박스되지 않은 iframe을 생성하고, YouTube를 포함하는 CSP 허용 목록을 사용하여 실행 가능한 JavaScript를 반사합니다. 그런 다음 공격자 스크립트는 DOM에서 세션 액세스 토큰을 읽고 ChatGPT의 인증된 API를 호출합니다.
영향받는 시스템
ChatGPT 웹 프론트엔드 (HTML 미리보기 / 캔버스 아티팩트 기능); 근본 원인은 MathLive 수학 입력 라이브러리의 교차 프레임 postMessage 리스너와 관대한 CSP
완화 방안
OpenAI가 2026-10-26에 두 가지 영향을 받는 프론트엔드 버전에 걸쳐 패치/수정했습니다; 사용자 조치 필요 없음. AI 채팅 또는 에이전트 인터페이스를 구축하는 조직: 모든 postMessage 리스너와 모델/사용자 콘텐츠를 렌더링하는 모든 구성 요소를 감사하고, 공유 가능한 대화를 신뢰할 수 없는 입력으로 취급하며, CSP 허용 목록을 강화하세요.