ChatGPT 링크 한 번에 몰래 심어지는 원격 조종 AI 에이전트 취약점, OpenAI 수정

링크 하나로 심어지는 원격 조종 에이전트

AI 보안업체 Zenity Labs는 OpenAI의 ChatGPT Workspace Agents에서 취약점을 발견해 ‘AgentForger’로 명명하고 공개했다. 이 취약점은 사이트 간 요청 위조(CSRF), 즉 사용자가 로그인한 상태를 악용해 본인 의사와 무관한 요청을 서버에 보내게 만드는 공격 기법의 변형으로 분류된다.

공격이 성립하려면 조건이 여럿 충족돼야 한다. 피해자가 ChatGPT에 로그인해 있어야 하고, Workspace Agents에 접근 권한이 있어야 하며, Gmail·Outlook·Slack·Google Drive·SharePoint·Teams 같은 커넥터를 최소 하나 인증한 상태여야 한다. 커넥터는 ChatGPT를 외부 앱·서비스에 연결해 데이터를 주고받게 해주는 인증된 연결을 뜻한다. 공격은 이미 맺어진 연결을 재사용하기 때문에 사용자에게 새로운 접근 권한을 묻는 화면인 OAuth 동의 화면이 새로 나타나지 않았다.

승인 절차 끄고 스스로 숨는 에이전트

공격은 Agent Builder의 초기화 URL에 담긴 두 개의 파라미터를 악용했다. 하나는 사용할 템플릿을 지정하고(template_name, 예: chief-of-staff), 다른 하나(initial_assistant_prompt)는 지시문을 제공한다. Builder 페이지는 이 지시문 값을 입력란에 넣는 데 그치지 않고 자동으로 제출·실행했다.

생성된 에이전트는 읽기·쓰기·삭제 권한 요구를 모두 ‘항상 묻지 않음(Never ask)‘으로 바꿔 승인 절차를 비활성화하고, 자신을 숨긴 뒤 게시·가동되도록 설정됐다. 공격자는 이 보이지 않는 에이전트를 정찰, 민감 데이터 탐색, 자격증명 수집, 피해자 사칭, 내부 피싱, 비즈니스 이메일 침해(BEC)에 활용할 수 있다고

The Decoder가 전한 시연에서는 에이전트가 5분마다 실행되도록 예약돼 공격자가 보낸 이메일에서 제목이 ‘TASK’로 시작하는 지시를 확인하고, 연결된 앱으로 지시를 수행한 뒤 결과를 공격자에게 회신하도록 설정됐다. 같은 시연에서 Builder는 사용자에게 묻지 않고 ‘TASK Mail Operator’라는 에이전트를 생성했다.

수정과 배경

OpenAI는 Zenity Labs의 보고를 받은 뒤 취약점을 수정했다. 공격 무대가 된 Agent Builder는 2025년에 도입된 도구라고