ChatGPT 광고 집행 전략, 사용자 신뢰 원칙과 AI 공급망 리스크 점검법

무슨 일이 일어나고 있나

광고 지면: 광고주는 세 번째

OpenAI의 VP of monetization인 Benji Shomair는 LUMA Partners가 뉴욕에서 연 Digital Media Summit 무대에서 ChatGPT 광고 사업의 우선순위를 user trust, user value, advertiser value 순으로 밝혔습니다. 앞의 두 가지를 제대로 하면 세 번째는 따라온다는 설명이었어요. 의사결정 원칙은 다섯 가지입니다. 미션 정렬, 답변 독립성(answer independence), 대화 프라이버시, 선택과 통제, 매출보다 사용자 신뢰와 경험을 우선하는 원칙이에요. Shomair에 따르면 이 원칙은 광고를 내부 테스트하기 전에 만들었고, 지금도 모든 제품 결정에 쓰인다고 합니다.

운영 방식은 파트너 중심입니다. OpenAI는 광고 사업을 시작한 지 1년이 안 된 시점(원문 발행 기준)에 ad tech, 측정, 에이전시 파트너를 50곳 넘게 온보딩했다고 밝혔어요. Shomair는 이를 두고 "우리가 전부 할 수는 없다, 실용적인 선택"이라고 말했습니다. 광고 단가, 포맷, 집행 규모는 원자료에서 공개되지 않았어요.

웹 인프라: 앱 코드보다 먼저 뚫리는 취약점

PHP 보안팀은 2026년 10월 21일 원격 코드 실행 취약점 두 건(CVE-2026-109618, CVE-2026-109619), 통칭 PHP2Shell을 공개했습니다. 둘 다 CVSS v4.0 9.2점이고 인증 없이 악용할 수 있어요. AWS는 패치가 나오기 전인 2026년 10월 17일부터 악용 시도를 관측했습니다. 공개일보다 나흘 앞선 날짜예요.

연산 공급: 창업자 1인에 쏠린 회사

The Verge 보도에 따르면 Nvidia CEO 젠슨 황은 중국 스파이로 의심받는 여성과 관계를 가졌다고 인정했고, 그 활동이 미국 정보기관과 트럼프 대통령에게도 알려져 있던 시기였다고 전해졌습니다. TechCrunch는 Wall Street Journal을 인용해 Nvidia 이사회가 33년간 회사를 이끈 황의 해임을 검토하고 있다고 전했어요. 보도 기준 수요일 저녁에는 New York Times가 황이 자신에게 보고하는 임원과도 관계를 가졌다고 보도했습니다. Nvidia 주가는 그 수요일 시간외 거래에서 약 8% 떨어졌고, 최근 5거래일 동안 약 11% 하락했어요. 이사회 결정은 발행 시점 기준으로 원자료에 나오지 않습니다.

왜 중요한가

신뢰 우선 원칙은 광고주의 측정 수단을 줄이는 방향으로 작동한다

Shomair는 신뢰를 1순위로 둔 이유를 지면의 성격으로 설명했어요. 광고나 상업 메시지가 ChatGPT만큼 친밀한 환경에 들어간 적이 없었고, 사람들이 ChatGPT에 무엇을 털어놓는지 생각해 보라는 말이었습니다. 메커니즘을 한 단계 더 풀면 이렇습니다. 답변 독립성은 광고비로 답변 내용을 살 수 없다는 뜻이고, 대화 프라이버시는 대화 내용을 광고주에게 넘기는 정밀 타기팅에 선을 긋는다는 뜻이에요. 기존 검색 광고에서 광고주가 성과를 설명하던 두 축, 곧 노출 위치 통제와 의도 데이터 활용이 모두 제한됩니다. 그래서 측정은 OpenAI가 허용한 범위 안에서 파트너를 통해 이뤄질 수밖에 없고, Shomair가 파트너들이 원하지만 OpenAI가 할 수 없는 일이 있다고 언급한 지점이 바로 이 경계예요.

PHP2Shell은 '우리 코드는 안전하다'는 판단을 무력화한다

Datadog 설명에 따르면 악용은 PHP가 애플리케이션 코드를 실행하기 전에 일어납니다. 그래서 앱 수준 인증과 입력 검증으로는 막을 수 없고, 응답만 돌려주는 단순한 PHP 스크립트도 취약 경로를 노출할 수 있어요. 마케팅 스택에 대입하면 캠페인 랜딩, 폼 수신 페이지, 이벤트 수집 엔드포인트처럼 로직이 거의 없는 PHP 파일도 대상이 된다는 뜻입니다. 또 문제가 인터프리터 자체에 있어서 앱 코드를 다시 배포하는 것으로는 해결되지 않고, 호스트와 컨테이너 이미지의 PHP 런타임을 업데이트해야 해요. 공개 전부터 공격 시도가 있었으니 패치를 적용해도 그 이전에 침해됐는지는 따로 조사해야 합니다. Datadog이 영향받는 배포 식별, 패치, 패치 이전 악용 여부 조사를 대응 절차로 제시한 이유예요. 랜딩 서버가 뚫린 상태였다면 그 기간의 전환 데이터와 수집한 고객 정보의 신뢰도도 함께 의심해야 합니다.

Nvidia 사안은 칩 공급 집중과 1인 의사결정 구조가 겹친 문제다

The Verge는 Nvidia를 최첨단 칩을 설계하거나 생산할 전문성을 가진 소수 기업 중 하나이자 글로벌 AI 개발 병목의 게이트키퍼로 표현했습니다. Meta, Anthropic, OpenAI가 의존도를 낮추려고 자체 칩 개발에 나서면서도 연산 확보에 billions 단위를 쓰고 있다는 대목도 있어요. 여기에 회사 내부 구조가 겹칩니다. TechCrunch에 따르면 황은 권한을 거의 위임하지 않고 직속 보고자가 약 60명이라고 스스로 말해 왔고, 회사에는 뚜렷한 후계자나 승계 계획이 없었어요. Bloomberg는 Nvidia가 외부 업체와 함께 후임 후보를 찾고 있다고 보도했습니다. 공급이 몰린 회사에서 의사결정까지 한 사람에게 몰려 있으면, 그 사람의 리스크가 곧바로 회사 리스크가 되는 구조예요. 다만 이것이 마케터가 쓰는 AI 도구의 가격이나 가용성에 실제로 어떤 영향을 줄지는 원자료에 나오지 않습니다.

이해관계와 역학

OpenAI: 광고를 미션의 재원으로 정의하기

핵심은 광고 사업을 미션 달성 수단으로 설명한 대목입니다. Shomair는 유료로 쓸 사람보다 훨씬 많은 사람이 ChatGPT를 써야 미션을 이룰 수 있고, 그래서 미션 달성에 광고 사업이 필요하다고 말했어요. 이 프레이밍에는 두 가지 효과가 있습니다. 광고 도입을 수익화가 아닌 접근성 확대로 보이게 해 사용자 반발을 누그러뜨리고, 광고주를 세 번째로 둔다는 선언은 사용자와 규제 당국을 향한 신호가 됩니다. 원칙을 광고 테스트 전에 만들었다고 강조한 것도 원칙이 사후 변명이 아니라는 점을 보여 주려는 장치로 읽혀요.

무료 AI의 청구서는 결국 광고주에게 간다

같은 구조를 먼저 굴린 회사의 숫자가 참고가 됩니다. 모비인사이드 분석에 따르면 Meta는 AI 모델을 무료로 풀면서 2025년 매출 2,009.7억 달러 가운데 1,961.8억 달러(97.6%)를 광고로 벌었어요. Meta는 2026년 3분기 실적 발표에서 AI 비서의 추천을 따른 광고주가 같은 비용으로 전환을 5% 가까이 더 냈다고 밝혔는데, 이는 추천을 따르지 않은 비슷한 광고주와 견준 회사 자체 추정입니다. 같은 광고주들은 광고비를 9% 더 썼어요. 분석 필자는 이를 두고 공짜 AI의 청구서가 광고비 영수증 안에 들었다고 썼습니다. OpenAI의 광고 모델에 이 구조를 그대로 대입하는 것은 해석이지만, 사용자는 무료로 쓰고 광고주가 비용을 내는 순서라는 점은 같아요. 광고주가 우선순위에서 세 번째라는 말은 비용 부담에서 첫 번째라는 말과 함께 읽어야 합니다.

파트너: 데이터 접근을 넓히려는 쪽과 막는 쪽

50곳이 넘는 ad tech, 측정, 에이전시 파트너는 데이터 접근이 넓을수록 자기 상품의 가치가 올라갑니다. OpenAI는 파트너 없이는 사업을 키울 수 없다고 인정하면서도 원칙을 근거로 일부 요구를 거절하고 있어요. 무엇을 거절했는지는 공개되지 않았고, 원칙 준수를 확인할 외부 감사 체계도 원자료에 나오지 않습니다. 광고주는 어느 파트너가 어떤 데이터를 받는지 스스로 확인해야 하는 위치에 있어요.

Datadog: 위협 분석이자 제품 안내

Datadog 글의 작성자는 Senior Product Marketing Manager이고, Security Research Feed, Cloud Security, Workload Protection, Cloud SIEM을 한 플랫폼으로 잇는 흐름을 보여 줍니다. Datadog Security Labs가 작동하는 재현까지 포함한 기술 분석을 공개한 것은 업계에 유용하지만, 대응 절차가 자사 제품 조합으로 짜여 있다는 점은 감안해야 해요. 제품 가격은 공개되지 않았습니다.

Nvidia 주변: 위기에서 명분을 얻는 쪽

자체 칩 프로젝트를 진행하는 빅테크는 의존도 축소의 명분을 얻습니다. 수출 통제를 지지하는 쪽도 근거를 얻어요. The Verge에 따르면 미국은 최첨단 AI 칩의 중국 판매를 제한하고 있고, 중국은 국산 대체재 개발을 국가 전략 우선순위로 삼았으며, 통제 대상 Nvidia 칩의 암시장도 생겼습니다. 에너지, 경제, 안보 프로그램 디렉터이자 선임연구원인 Emily Kilcrease는 Nvidia 칩을 더 확보하는 것이 중국에 가장 분명한 이득이라고 말했어요. 이사회 쪽에서는 외부 업체를 통한 후보 탐색 자체가 승계 계획 부재라는 지배구조 약점을 메우려는 움직임으로 볼 수 있습니다.

실무에 주는 함의

세 층으로 나눠 확인 순서를 정리했습니다. 조직 상황에 따라 적용 범위가 다르니 조건을 먼저 확인하세요.

• ChatGPT 광고 KPI 설계: 집행을 검토 중이라면 답변 안의 브랜드 언급이나 대화 내용 기반 타기팅을 전제로 KPI를 잡기 전에, 실제로 제공되는 타기팅과 측정 옵션을 OpenAI나 공식 파트너에게 문서로 받아 보는 것이 순서예요. 제공 여부를 확인한 뒤 KPI를 그 범위에 맞추면 성과 보고 때 기대치 차이를 줄일 수 있습니다.
• 측정 파트너 확인: 기존 에이전시나 측정사를 쓴다면 그 회사가 50곳 넘는 온보딩 파트너에 포함되는지, 어떤 지표를 받는지 계약 전에 확인하세요. 파트너마다 접근 범위가 다를 수 있고, 원칙상 받을 수 없는 데이터를 약속하는 제안이라면 근거를 따로 요청하는 편이 안전합니다.
• 테스트 예산의 비교 기준: 다른 광고 플랫폼이 AI 추천 효과를 자체 추정치로 제시하듯, 새 지면의 성과 수치도 누가 무엇과 비교해 낸 값인지 먼저 확인하세요. Meta의 전환 5% 개선도 회사 자체 추정이었고 같은 광고주의 광고비는 9% 늘었습니다.
• PHP 자산 목록 만들기: 랜딩 페이지, 폼 수신, 이벤트 수집 엔드포인트, CMS 중 PHP로 도는 것이 있는지 개발팀이나 대행사에 확인을 요청하세요. 로직이 단순한 페이지도 취약 경로가 될 수 있으니 목록에서 빼지 않는 것이 좋습니다. 외주로 운영한 캠페인 마이크로사이트와 종료된 프로모션 페이지도 포함해야 해요.
• 런타임 업데이트 범위 확인: PHP 자산이 있다면 앱 코드 배포만으로 끝나지 않고 호스트와 컨테이너 이미지의 PHP 런타임 업데이트가 필요한지, 실제로 반영됐는지를 담당자에게 확인하세요.
• 패치 이전 기간 조사: 2026년 10월 17일부터 패치 적용일까지 해당 서버에서 의심 프로세스나 로그가 있었는지 보안팀에 조사를 요청하는 것이 좋습니다. 조사 결과 침해 가능성이 확인되면 그 기간의 전환 데이터를 리포트에서 구분 표시하는 방안을 검토하세요.
• AI 벤더 의존도 지도: 쓰고 있는 생성형 AI 도구가 어느 모델과 클라우드에 기대는지 정리해 두면, 특정 공급자의 가격이나 가용성이 바뀌었을 때 영향 범위를 빨리 가늠할 수 있어요. 계약에 모델 변경 통지 조항이 있는지도 함께 확인해 보세요.
• 담당 부서 연결: 광고 지면은 퍼포먼스팀, 랜딩 서버는 개발팀이나 대행사, AI 벤더 계약은 구매팀이 맡는 구조라면 세 층을 한 번에 보는 정기 점검 자리를 두는 방안을 검토할 만합니다.

리스크와 반대 관점

원칙은 양쪽으로 무너질 수 있다

신뢰 우선 원칙은 OpenAI가 스스로 정했고 외부 감사 체계는 원자료에 나오지 않습니다. 매출 압박이 커지면 순위가 조정될 수 있어요. 반대로 원칙을 엄격하게 지킬수록 광고주가 쓸 수 있는 타기팅과 측정이 줄어 예산을 정당화하기 어려워집니다. 어느 쪽으로 가든 광고주에게는 불확실성이라, 초기 예산을 작게 두고 근거를 쌓는 방식이 덜 위험해요. Meta 사례처럼 성과 개선과 광고비 증가가 같이 나타나면, 개선분 상당 부분이 플랫폼 매출로 돌아가는 구조일 수 있다는 점도 함께 따져야 합니다.

PHP2Shell은 과소평가와 과대평가가 모두 함정이다

우리 사이트는 PHP를 안 쓴다고 판단했는데 외주 랜딩이나 오래된 프로모션 페이지에 PHP가 남아 있는 경우가 있어요. 반대로 보안 벤더의 대응 흐름을 그대로 따르면서 이미 쓰는 도구로 충분한지 따지지 않으면 불필요한 도입 비용이 생깁니다. 벤더 글은 절차의 참고 자료로 쓰고, 도구 선택은 별도로 판단하는 편이 맞아요.

Nvidia 사안은 과장될 여지가 크다

해임 검토는 소식통을 인용한 보도이고, 발행 시점 기준으로 이사회 결정은 원자료에 없습니다. The Verge 기사의 상당 부분도 전문가 전망이에요. 미국의 우위가 몇 주나 몇 달 만에 사라질 수 있다는 원문 인용은 중국이 그 칩을 확보한다는 가정을 깔고 있습니다. 실제 기술 유출이나 공급 차질이 확인된 내용은 원자료에 없으니, 주가 하락을 근거로 당장 도구를 바꾸는 것은 과잉 대응이에요. 공급 집중과 핵심 인물 의존이라는 구조 리스크를 점검하는 계기로 받아들이는 정도가 적절합니다.

가장 놓치기 쉬운 함정은 조직 구조다

세 층의 리스크는 서로 영향을 줍니다. 새 광고 지면에서 들어온 클릭이 패치되지 않은 랜딩 서버에 도착하면, 지면 신뢰와 데이터 신뢰가 한꺼번에 흔들려요. 그런데 각 층을 다른 부서가 맡으면 이 연결 지점은 아무도 보지 않게 됩니다.

자주 묻는 질문

ChatGPT 광고란 무엇인가요

OpenAI가 ChatGPT 안에 도입한 광고 사업이에요. OpenAI는 광고 사업을 시작한 지 1년이 안 된 시점(원문 발행 기준)에 ad tech, 측정, 에이전시 파트너를 50곳 넘게 온보딩했다고 밝혔습니다. 단가와 세부 포맷은 원자료에서 공개되지 않았어요.

ChatGPT 광고는 답변 내용에 영향을 주나요

OpenAI가 공개한 다섯 가지 원칙 중 하나가 답변 독립성(answer independence)입니다. 광고가 답변을 바꾸지 않는다는 방향을 밝힌 것이지만 외부 검증 방법은 원자료에 나오지 않아요. 집행을 검토한다면 노출 위치와 표시 방식을 공식 채널로 먼저 확인하세요.

ChatGPT 광고에서 광고주가 세 번째인 이유는 뭔가요

Benji Shomair는 ChatGPT가 사용자가 개인적인 이야기까지 털어놓는 환경이라 신뢰가 가장 중요하다고 설명했습니다. 사용자 신뢰와 사용자 가치를 지키면 광고주 가치는 따라온다는 논리예요. 유료로 쓸 사람보다 훨씬 많은 사람에게 서비스를 넓히려면 광고 사업이 필요하다는 설명과도 맞물립니다.

PHP2Shell 대응은 어떻게 하나요

PHP2Shell은 2026년 10월 21일 공개된 PHP 인터프리터 취약점 두 건으로 CVSS v4.0 9.2점입니다. 앱 코드가 아니라 런타임 문제라서 호스트와 컨테이너 이미지의 PHP 런타임을 업데이트해야 해요. AWS가 2026년 10월 17일부터 악용 시도를 관측했으니, 패치 이전 기간의 침해 흔적 조사도 보안팀과 함께 검토하는 편이 좋습니다.

Nvidia 젠슨 황 스파이 의혹이 마케팅 AI 도구에 영향을 주나요

원자료에서 실제 공급 차질이나 기술 유출이 확인된 내용은 없습니다. 다만 Nvidia가 AI 칩 공급의 병목을 쥔 회사이고, 승계 계획이 없었다는 보도처럼 의사결정이 한 사람에게 몰린 구조라는 점은 리스크로 남아요. 쓰고 있는 도구의 모델과 클라우드 의존도를 정리해 두는 정도가 현실적인 대응입니다.