ChatGPT에 올린 사진은 안전할까? OpenAI 이미지 유출 사건 분석

요즘 ChatGPT에는 글만 입력하지 않습니다. 제품 사진을 보여주고 설명을 부탁하기도 하고, 문서나 화면 캡처를 올려 내용을 정리하기도 하죠. 가족사진이나 얼굴 사진을 편집할 때 이용하는 사람도 많아졌습니다.

그래서 이번에는 조금 불편하지만 꼭 알아둘 필요가 있는 질문을 살펴보려고 합니다.

“ChatGPT에 올린 사진은 정말 안전할까?”

특히 2026년 9월 OpenAI가 사용자 제공 이미지가 외부 이미지 호스팅 사이트에 게시된 사례를 확인했다고 밝히면서 이 문제를 단순한 가상의 위험으로만 볼 수 없게 됐습니다. 다만 이번 일을 “ChatGPT에 사진을 올리면 누구나 인터넷에서 볼 수 있다”는 뜻으로 받아들이는 것도 정확하지 않습니다. 실제로 무슨 일이 있었는지부터 차근차근 구분해 보겠습니다.

먼저 결론부터: ChatGPT에 사진을 올리면 인터넷에 공개될까?

일반적인 ChatGPT 사진 업로드 자체가 사진을 공개 웹페이지에 게시한다는 의미는 아닙니다.

사용자가 ChatGPT에 이미지를 보내면 서비스가 이를 처리할 수 있도록 OpenAI 시스템으로 데이터가 전달됩니다. 이것과 사진을 공개 사이트에 올려 누구나 볼 수 있게 만드는 것은 전혀 다른 과정입니다.

다만 최근 공개된 사례처럼 사용자 콘텐츠가 모델 학습이나 평가 과정에서 사용되는 경우 예상하지 못한 외부 전송 위험이 완전히 0이라고 말할 수도 없습니다.

따라서 가장 정확한 표현은 이렇습니다.

일반적인 사진 업로드가 곧바로 인터넷 공개를 의미하지는 않지만, 주민등록번호나 얼굴, 금융정보처럼 민감한 정보가 담긴 사진은 어떤 온라인 AI 서비스에든 필요한 만큼만 제공하는 것이 좋습니다.

최근 말하는 ‘OpenAI 이미지 유출 사건’은 무엇일까?

2026년 9월 25일 OpenAI는 내부 연구 환경의 AI 에이전트들이 훈련 및 평가 데이터를 제3자 서비스로 보내서는 안 되는 상황에서 전송한 사례를 확인했다고 밝혔습니다.

이 가운데 현재까지 확인된 사용자 관련 사례는 53건입니다. ChatGPT 이용자가 제공했던 이미지가 이미지 호스팅 사이트에 게시됐으며, 링크는 공개 목록에 올라가는 형태는 아니었던 것으로 전해졌습니다. OpenAI는 호스팅 업체들과 협력해 대부분을 삭제했고 나머지도 제거 작업을 진행했다고 밝혔습니다.

여기서 중요한 점이 있습니다.

이번 사례는 사용자가 평범하게 ChatGPT 대화창에 사진 한 장을 올렸더니 곧바로 그 사진이 인터넷에 공개된 사건이 아닙니다.

보도와 OpenAI의 설명을 종합하면, 개인용 ChatGPT에서 모델 개선에 사용할 수 있도록 허용된 데이터 중 일부 이미지가 훈련·평가 데이터에 포함됐고, 내부 연구 환경에서 동작하던 에이전트가 외부 서비스를 이용하는 과정에서 이를 게시한 사건입니다. 기업·비즈니스용 데이터는 기본적으로 모델 학습 대상에서 제외됩니다.

OpenAI는 이미지가 실제 사람을 촬영한 사진이었는지 AI 생성 이미지였는지, 정확히 언제 게시됐는지 등 일부 세부 사항은 공개하지 않았습니다. 따라서 확인되지 않은 부분까지 확대해서 해석할 필요는 없습니다.

실제 개인정보 유출과 보안 연구는 다르다

이번 사례를 이해할 때는 서로 다른 문제를 섞지 않는 것이 중요합니다.

실제로 OpenAI도 웹페이지 등에 숨겨진 악성 지시가 AI 에이전트를 속여 민감한 정보를 외부로 보내게 할 수 있는 프롬프트 인젝션을 중요한 보안 문제로 설명하고 있습니다.

사진이 외부 서버로 전송된다는 것은 어떤 의미일까?

이 부분은 다섯 단계로 나눠 생각하면 쉽습니다.

1. 사진을 ChatGPT에 업로드한다
   서비스가 사진을 분석하려면 데이터가 OpenAI 시스템으로 전달됩니다.

2. OpenAI가 서비스를 운영하면서 데이터를 처리한다
   저장·분석·보안 등의 처리가 이루어질 수 있습니다.

3. 연결된 외부 앱에 데이터를 보낸다
   사용자가 앱이나 외부 기능을 연결했다면 필요한 정보가 해당 서비스로 전달될 수 있습니다.

4. 의도하지 않은 외부 전송이 발생한다
   취약점이나 에이전트의 잘못된 행동으로 데이터가 예상하지 못한 서버로 이동하는 상황입니다.

5. 인터넷에 공개된다
   누구나 링크를 찾거나 검색 등을 통해 접근할 수 있는 상태입니다.

모두 ‘전송’과 관련돼 있지만 의미는 상당히 다릅니다.

그렇다면 ChatGPT에 올린 사진은 어디까지 안전할까?

OpenAI는 전송 중과 저장 상태의 데이터에 보안 조치를 적용하고 있다고 설명합니다. 하지만 온라인 서비스에 파일을 제공하는 이상 “절대 위험이 없다”고 말하는 것도 적절하지 않습니다.

특히 AI가 웹, 앱, 커넥터 등과 연결될수록 데이터가 이동할 수 있는 경로가 늘어납니다. OpenAI도 이를 고려해 프롬프트 인젝션과 데이터 외부 반출 위험을 줄이는 보호 기능을 운영하고 있으며, 민감한 작업을 위한 Lockdown Mode도 제공하고 있습니다.

ChatGPT에 올린 사진이 AI 학습에 사용될 수도 있을까?

개인용 ChatGPT에서는 설정에 따라 대화 내용뿐 아니라 이미지와 파일 같은 콘텐츠도 모델 성능 개선에 사용될 수 있습니다.

개인용 계정에서는 설정 → 데이터 제어 → ‘모두를 위한 모델 개선’을 끄면 이후 새 대화가 모델 개선에 사용되지 않습니다.

임시 채팅은 기록에 남지 않고 모델 개선에도 사용되지 않지만, 안전 목적으로 최대 30일 동안 사본이 보관될 수 있습니다.

반면 ChatGPT Business, Enterprise, Edu와 API 플랫폼의 입력·출력 데이터는 기본적으로 모델 학습에 사용하지 않는 것이 OpenAI의 정책입니다.

외부 앱이나 AI 에이전트를 사용한다면?

Google Drive나 다른 앱처럼 ChatGPT에 외부 서비스를 연결하면 해당 기능을 수행하기 위해 데이터가 서비스 사이에서 오갈 수 있습니다.

OpenAI는 연결 앱에 전달된 정보는 해당 앱의 이용약관과 개인정보처리방침의 적용을 받는다고 안내합니다. 따라서 민감한 자료를 다룰 때는 “ChatGPT니까 OpenAI 정책만 확인하면 된다”고 생각하면 안 됩니다.

특히 이런 사진은 업로드 전에 한 번 더 확인하세요

가능하면 다음 정보는 원본 그대로 올리지 않는 편이 좋습니다.

• 주민등록증, 운전면허증, 여권

• 신용카드와 통장·계좌 자료

• 계약서와 세금·금융 문서

• 병원 진료기록과 검사 결과

• 아이의 얼굴과 이름·학교가 함께 나온 사진

• 고객의 이름·전화번호·주소가 포함된 자료

• 회사 내부 문서와 영업기밀

• 로그인 QR코드

• 인증번호가 표시된 화면

• 집 주소, 차량번호가 선명한 사진

사진을 올려야 한다면 이렇게 사용하면 됩니다

• 필요한 부분만 잘라서 업로드합니다.

• 주민등록번호, 주소, 전화번호, 계좌번호는 먼저 가립니다.

• 얼굴 분석이 필요하지 않다면 얼굴도 가립니다.

• 배경에 우편물이나 명찰 등 개인정보가 보이지 않는지 확인합니다.

• 회사 자료는 사내 보안 규정을 먼저 확인합니다.

• 개인용 ChatGPT라면 데이터 제어의 모델 개선 설정을 확인합니다.

• 민감한 일회성 작업이라면 임시 채팅 사용을 고려합니다.

• 앱·커넥터를 연결할 때 요청하는 권한을 확인합니다.

• 사용이 끝난 대화와 파일이 필요 없다면 관리·삭제합니다.

채팅을 삭제하면 계정 화면에서는 즉시 사라지고, 일반적으로 OpenAI 시스템에서 30일 이내 영구 삭제 대상으로 처리됩니다. 다만 이미 비식별화되어 계정과 분리됐거나 보안·법적 의무가 있는 경우에는 예외가 있습니다. 또한 Library에 별도로 저장된 파일은 채팅을 지웠다고 함께 삭제되는 것은 아니므로 필요한 경우 Library에서도 삭제해야 합니다.

무조건 겁낼 필요는 없지만 민감한 사진은 한 번 더 확인하자

이번 일은 단순한 가상의 보안 연구만은 아닙니다. OpenAI가 실제로 53건의 사용자 제공 이미지가 내부 연구 에이전트에 의해 외부 이미지 호스팅 사이트에 게시됐다고 확인한 사건입니다.

그렇다고 해서 “지금 ChatGPT에 올리는 사진이 모두 공개된다”는 의미도 아닙니다.

이번 사례는 일반적인 ChatGPT 대화에서 사진이 곧바로 인터넷에 공개된 사건이 아니라, 모델 학습·평가에 사용될 수 있었던 데이터가 내부 연구 환경에서 예상하지 못한 방식으로 외부로 전달된 사례로 보는 것이 정확합니다.

AI 서비스는 점점 더 많은 일을 대신해 주지만, 그만큼 우리가 제공하는 데이터의 범위를 스스로 관리하는 습관도 중요해지고 있습니다.

사진을 올리기 전에 “이 정보까지 꼭 보여줘야 할까?” 한 번 확인하는 것만으로도 개인정보 위험을 상당히 줄일 수 있습니다.