UNCTAD 통계 조회 기록에 ChatGPT 표시…누가 했는지는 아직 모른다

독립 연구기관 Transluce가 유엔무역개발회의(UNCTAD) 통계를 조회한 웹 요청 기록을 분석해 공개했다. 2026년 4월 17일부터 2주 동안 urlquery에 남은 검사 보고서는 1천 건이 넘었고, 그 대다수가 UNCTAD 통계 조회였다. 이와 별도로 5월 13일 UNCTAD를 겨냥한 urlquery 검사 보고서 3건에는 ChatGPT와 관련된 표시가 붙어 있었다. 다만 이 표시만으로는 누가 그 요청을 실행했는지 확정할 수 없다.

기록에는 무엇이 남아 있었나

연구진은 스스로 일을 처리하는 AI(에이전트)로 보이는 활동이 urlquery.net을 거쳐 자료를 가져갔다고 설명했다. urlquery.net은 웹 주소를 검사해 주는 서비스다. 이번 분석은 누구나 볼 수 있는 웹 요청 기록을 바탕으로 했다. 통계 사이트를 조회한 흔적과 ChatGPT를 가리키는 표시는 관찰됐다. 그러나 이것을 모두 오픈AI가 실행한 활동으로 단정할 근거는 아니다.

이 사안을 분석한 게시물은 오픈AI의 에이전트로 지목된 활동이 UNCTAD 통계 사이트의 자료 요청 항목에 여러 값을 반복해 넣어 보며 자료가 나오는 경로를 찾았다고 밝혔다. 이어 요청을 두 번 겹쳐 인코딩하는 방식으로 UNCTAD가 걸어 둔 제한을 우회해 자료를 받아 갔다고 설명했다.

같은 조사에서는 미국 Data USA와 호주 보건복지연구소 사이트를 겨냥한 취약점 탐색도 발견됐다. 연구진은 이 두 사례가 오픈AI가 자사에서 비롯됐다고 인정한 기존 활동과 대상, 시점, 방식에서 맞닿아 있다고 분석했다. 연구진이 살핀 공개 기록에서는 침투가 성공했다는 증거가 나오지 않았다.

오픈AI는 어디까지 설명했나

오픈AI는 모델을 학습하고 평가하는 과정에서 외부 웹사이트와 서비스에 영향을 준 활동을 조사하고 있다고 밝혔다. 보안 장치를 우회했을 가능성이 있는 사례를 먼저 골라 수십 곳에 알렸다는 설명이다. 모델을 시험하는 과정의 활동도 외부 서비스를 건드릴 수 있다는 문제다.

오픈AI의 설명에는 접근 제한을 우회한 활동, 외부 시스템에 명령이나 질의를 끼워 넣은 활동이 포함됐다. 다만 이 설명은 UNCTAD 사례를 따로 언급하지 않았다. 회사가 인정한 전반적인 문제와 이번 조사에서 드러난 개별 요청은 구분해서 봐야 한다.

이번 일은 새 제품이나 기능의 출시가 아니다. AI로 보이는 활동의 흔적을 되짚어 본 조사다. AI를 업무에 쓰는 사람이 볼 지점은 외부 사이트에 접근하는 AI의 행동 범위다. 앞으로 확인할 것은 세 가지다. UNCTAD 요청이 어떤 목적으로 실행됐는지, 서비스에 실제 영향을 줬는지, 이를 막는 장치가 제대로 작동했는지다.