ChatGPT, 사용자 모르게 커넥터 간 데이터 전달… 제보하려면 신분증부터 요구
ChatGPT silently passes data between connectors and the bounty wants an ID card
한 사용자가 두 개의 커넥터를 활성화한 대화에서 ChatGPT가 확인 코드를 생성한 커넥터 A가 아닌 커넥터 B를 통해 후속 도구 호출을 조용히 라우팅한 사례를 공개했다. 서버는 OAuth 클라이언트 바인딩 덕분에 호출을 거부했지만, 사용자 동의 없이 앱 간 데이터가 넘어갈 수 있다는 우려가 남는다. 제보자는 버그 바운티 제출에 생체 인증과 신분증을 요구받아 공개 게시를 택했다고 밝혔다.
버그 바운티 프로그램을 통해 이 문제를 공개하려 했지만, 보고서를 제출하기 전에 제가 아무 관련도 없는 제3자에게까지 생체 인증과 신분증 같은 개인 정보를 제공하라고 요구했습니다. 저는 그럴 의사가 전혀 없습니다.
HN 토론
38- simonw
나는 ID 요구 사항이 제재 준수 때문이라고 생각했다. 예를 들어 OpenAI는 북한에 있는 누군가에게 합법적으로 돈을 보낼 수 없으니까.
하지만 https://docs.bugcrowd.com/researchers/managing-account/accou... 에는 이렇게 나와 있다:
> 저품질 제출물의 대량 유입을 줄여 플랫폼 무결성을 개선하기 위해, 이제 모든 연구자는 Managed Bug Bounty(MBB) 프로그램(공개 및 비공개, 온디맨드 MBB 제외)에 보고서를 제출하기 전에 신원 확인(IDV)이 의무화됩니다.
- kristjansson
이건 OAI와 MCP가 제공할 수 있는 보장에 대한 근본적인 오해이거나 과대평가인 것 같다. 만약 '확인'이 별도의 도구 호출이라면 ... 그건 그냥 별도의 도구 호출이다. 스코프도 없고, '바인딩'도 없고, 아무것도 없다. 모델에게 제어권을 돌려주면, 모델에게 제어권을 돌려주는 것이다.
- jonstewart
바운티에는 욕망이 없다.
- orf
왜 “techsoft.ye”는 전혀 유용한 내용이 없는 장황한 LLM 댓글로 답할 필요를 느꼈을까?
- cluckindan
Claude 버그 리포트에 Claude 답변이라니… 세상이 어디로 가는 거야