8월 25일부터 ChatGPT의 클라우드 브라우저가 비밀번호로 보호된 사이트에 로그인할 수 있습니다. 자격 증명은 보안 폼을 통해 원격 브라우저로 직접 전달되며, 모델은 이를 전혀 보지 못하고, 저장되지도 않으며, 학습에 사용되지도 않습니다. 또한 별도의 검토 모델이 폼이 나타나기 전에 피싱 여부를 확인합니다. 이 모든 것은 사실이며 잘 설계돼 있습니다.
비밀번호는 원래 핵심 자산이 아니었습니다
자격 증명이 입력되면 실시간 인증 세션이 OpenAI 서버에 유지되고 — OpenAI의 표현에 따르면 — "인증은 만료될 때까지 향후 작업을 위해 유지됩니다." 지속되는 세션 쿠키는 비밀번호 없이, 그리고 두 번째 인증 요소 없이 계정 접근 권한을 부여합니다. 보안 경계는 "OpenAI가 자격 증명을 보유하지 않는다"에서 "OpenAI가 귀하의 계정에 대한 bearer token을 보유한다"로 이동했습니다. 더 약한 주장이 더 강한 주장의 옷을 입은 셈입니다. 세션은 설정에서 사이트별 또는 전체적으로 삭제할 수 있습니다.
흔한 해석이 놓치는 부분
두 번째 안심 논리는 에이전트가 중대한 행동 전에는 확인을 요청한다는 것입니다. 상호작용 경로에서는 그렇습니다. 그러나 OpenAI가 공개한 automations 문서는 "조직 정책이 허용할 경우 예약 작업은 approval_policy = "never"를 사용한다"고 밝히고 있으며, "예약 작업은 무인으로 실행되며 기본 샌드박스 설정을 사용한다"고 적고 있습니다. 관리자가 이를 금지하면 작업은 선택된 권한 모드로 되돌아갑니다. 그렇지 않으면 확인 프롬프트는 사람이 지켜보는 경로를 보호하지만, 아무도 지켜보지 않는 이벤트 기반 경로는 승인 없이 실행됩니다.
OpenAI가 무엇을 말하고 무엇을 말하지 않는지 정확히 하자면
OpenAI는 지속되는 브라우저 세션이 무인 예약 작업과 결합된다고 한 문장으로 어디에서도 명시하지 않았습니다. 그 조합은 OpenAI의 두 문서 페이지를 저희가 해석한 결과이며, 공개된 동작이라고 단정하기보다 그렇게 읽어야 합니다. 위에서 인용한 두 부분 모두 OpenAI 자체 자료에서 나온 것입니다. 일어나지 않은 일은 누구도 그것들을 서로 대조해 읽지 않았다는 점입니다.
트리거가 중요한 이유
automations는 웹훅으로 작동합니다. 발신자나 제목으로 필터링된 새로운 Gmail 메시지, 선택된 채널의 새로운 Slack 메시지, GitHub pull request 활동 등이 그렇습니다. 이들은 모두 외부인이 쓸 수 있는 표면입니다. 수신 이메일이나 pull request 제목에 삽입된 prompt injection은 이제 예약 실행되는 작업에 도달하며, 그 작업은 로그인된 브라우저 세션 내부에서 기본적으로 승인 없이 실행됩니다.