맥용 챗GPT 앱 보안 업데이트 배포, 오픈소스 공급망 이슈가 원인

• 오픈AI가 맥용 챗GPT 데스크톱 앱 보안 업데이트를 배포 중임

  • 보도에 따르면 이번 이슈는 오픈AI 직원 기기 2대가 영향을 받은 사례로 확인됨
  • 업데이트는 순차 배포 중이고, 전체 사용자 적용 완료까지는 6월 12일까지 걸릴 전망임
  • 맥 사용자는 업데이트 알림이 뜨는 즉시 설치하라는 권고가 나옴

• 원인은 널리 쓰이는 오픈소스 라이브러리 쪽 보안 문제로 전해짐

  • 해당 라이브러리가 침해되면서 오픈AI 내부 기기 2대에 영향이 간 것으로 설명됨
  • 오픈AI는 악성 행위를 인지한 뒤 조사, 차단, 시스템 보호 조치를 진행했다고 밝힘
  • 코드 저장소에서는 제한적인 자격 증명 정보만 유출된 것으로 확인됐고, 다른 데이터나 코드는 영향을 받지 않았다고 함

• 현재까지 공개된 피해 범위는 제한적임

  • 사용자 데이터 접근 증거는 발견되지 않았다고 오픈AI가 설명함
  • 회사 핵심 시스템이 침해됐다는 정황도 없다고 함
  • 외부 디지털 포렌식 및 사고 대응 업체를 투입해 원인을 추가 조사 중임

• 다른 플랫폼 사용자는 별도 조치가 필요 없다고 안내됨

  • 윈도우11이나 iOS 사용자는 이번 업데이트 대상이 아님
  • 추가 안내는 추후 제공될 예정임
  • 즉, 지금 당장 체크해야 할 대상은 맥용 챗GPT 데스크톱 앱 사용자임

• 맥용 챗GPT 앱은 예전에도 보안 논란이 있었음

  • 2024년에는 사용자 대화를 암호화하지 않은 채 로컬에 평문으로 저장한다는 지적이 나왔음
  • 당시에는 로컬 저장 방식이 문제였고, 이번에는 오픈소스 공급망과 내부 기기 영향이 겹친 케이스임
  • 같은 앱에서 다른 유형의 보안 이슈가 반복적으로 언급된다는 점은 기업용 사용 환경에서 꽤 민감한 지점임

---

기술 맥락

• 이번 사건의 핵심은 앱 자체 기능보다 의존성 관리예요. 데스크톱 앱은 혼자 돌아가는 것처럼 보여도 내부적으로 여러 오픈소스 라이브러리를 가져다 쓰고, 그중 하나가 침해되면 제품 업데이트까지 이어질 수 있거든요.

• 오픈AI가 사용자 데이터 접근 증거는 없다고 선을 그은 것도 중요해요. 보안 사고에서는 “침해가 있었나”와 “어떤 데이터까지 닿았나”를 분리해서 봐야 하거든요. 그래서 외부 포렌식 업체를 넣어 범위를 확인하는 절차가 따라붙어요.

• 맥 사용자에게 업데이트가 중요한 이유는 공급망 이슈가 사용자 단에서 바로 보이지 않기 때문이에요. 앱이 정상적으로 실행돼도 내부 구성요소가 취약할 수 있고, 사용자가 할 수 있는 가장 현실적인 조치는 패치된 버전으로 빨리 올라가는 거예요.