챗GPT 안에 인터넷이 통째로 열린 컴퓨터가 들어와버렸습니다

챗GPT 화면 상단에 탭이 하나 늘었습니다. Chat 옆에 Work. 눌러보면 별다를 게 없어 보입니다. 똑같이 입력창이 있고, 똑같이 대답이 옵니다.

그 밋밋한 탭 뒤에서 무슨 일이 벌어지는지, 사이먼 윌리슨이 파헤쳤습니다. Datasette를 만든 그 개발자, 에이전트 보안 분야에서 '치명적 3요소' 개념을 제창한 그 사람입니다. 8월 30일에 올라온 해부 글은 한 문장으로 요약됩니다. 이건 채팅 기능이 아니라 클라우드 컴퓨터다.

7월 9일 발표 이후 OpenAI가 조용히 살을 붙여온 이 물건이 지금 어디까지 왔는지, 글의 뼈대를 따라가 봤습니다.

하나가 아니라 둘입니다

챗GPT Work라는 이름 아래 실은 제품이 두 개 있습니다.

하나는 chatgpt.com과 모바일 앱에서 도는 클라우드판. 윌리슨은 이걸 Work Cloud라고 부릅니다. 다른 하나는 데스크톱 앱에서 내 컴퓨터의 파일을 직접 만지는 로컬판입니다. 데스크톱 앱의 옛 이름을 기억하실 겁니다. Codex예요. 개발자용 코딩 에이전트를 일반인 눈높이로 다시 포장한 게 Work Local입니다.

접근 조건은 하나입니다. 월 20달러 이상 구독자 전용. 무료 사용자와 8달러 Go 요금제는 탭 자체가 없습니다. 유료의 벽 뒤에 있으니, 대부분의 사용자는 이 물건의 실체를 접할 기회조차 없었던 셈입니다.

윌리슨의 해부는 클라우드판에 집중됩니다. 여기부터가 본론입니다.

모델 선택지도 Chat과 다릅니다. Work에서는 GPT-5.6의 세 변종 Sol, Luna, Terra를 고르고, 추론 강도를 Light부터 Ultra까지 조절합니다. Ultra는 서브에이전트에 일을 더 적극 위임하는 모드라는 게 윌리슨의 추정입니다. 과금도 별도 트랙이에요. Work 세션은 Codex 할당량에서 차감됩니다. 채팅 서비스가 아니라 코딩 에이전트의 혈통이라는 방증입니다.

인터넷이 통째로 열린 코드 실행 환경

Work의 가장 센 기능은 화면에 안 보입니다. 코드 실행 컨테이너의 네트워크 정책이에요.

기존 챗GPT Chat에도 코드 실행은 있습니다. 다만 컨테이너 프록시가 바깥 통신을 막습니다. 패키지 하나를 더 깔려 해도 차단이에요. 경쟁사도 크게 다르지 않습니다. 클로드의 컨테이너는 작년 9월부터 인터넷을 열었지만 PyPI, NPM, 깃허브 정도의 짧은 화이트리스트가 전부입니다.

Work는 기본값이 전체 개방입니다. 허용 도메인을 좁혀 설정할 수는 있는데, 안 건드리면 다 뚫려 있어요.

이게 뭘 바꾸냐면, 작업의 단위가 바뀝니다. 깃허브에서 레포를 클론하고, 의존성을 설치하고, 그 도구로 바깥 웹 서비스와 직접 통신하는 일까지 채팅창 안에서 끝납니다. 코드 스니펫을 받아 내 컴퓨터에서 돌려보던 시대와는 다른 층위입니다.

브라우저도, 파일시스템도 진짜입니다

Work는 헤드리스 크롬을 품었습니다. 실제 크롬 인스턴스를 띄워 사이트를 로드하고, 폼을 채우고, 스크린샷을 찍습니다.

윌리슨이 직접 시켜봤습니다. "내 사이트를 브라우저로 열어 자바스크립트로 헤딩을 추출하라." Work는 Playwright로 페이지 DOM에 코드를 꽂아 헤딩 목록을 뽑아 왔습니다. 개발자가 쓰는 브라우저 자동화 그대로인데, 이제 폰에서도 시킬 수 있게 된 겁니다.

로그인이 필요한 사이트는 설계가 눈에 띕니다. 비밀번호와 2차 인증 코드는 사용자가 직접 입력하고, 그 값은 모델을 거치지 않습니다. 자격 증명이 대화 기록에 남지 않는 구조예요.

파일시스템도 다릅니다. Chat은 세션마다 새 파일시스템을 받고, 끝나면 접근 불가입니다. Work는 세션별 스크래치 폴더가 세션이 끝나도 남습니다. 지난주 작업물을 이번 주 세션에서 이어 쓸 수 있어요. 윌리슨의 작업 폴더는 벌써 171개입니다. 동시에 떠 있는 세션들은 같은 볼륨을 공유해서, 한쪽의 파일 수정이 다른 쪽에 즉시 보입니다.

만들고, 그 자리에서 배포까지

ChatGPT Sites라는 기능이 있습니다. 사이트를 만들어서 클라우드플레어 워커스에 그대로 배포합니다.

정적 페이지가 아닙니다. 서버사이드 코드가 돌고, 클라우드플레어 D1과 R2로 상태 저장까지 됩니다. 윌리슨은 프롬프트 하나로 런던의 중세 성화 조각 위치를 조사해 데이터 사이트를 만들게 했어요. 조사, JSON 정리, 사이트 빌드, 배포가 한 번에 끝났습니다.

이 기능이 뜻밖의 용도로도 쓰였습니다. 윌리슨이 Work에게 시킨 겁니다. "네 도구 전부를 목록으로 만든 사이트를 지어라." 결과물에 223개의 도구가 찍혔습니다. 이어서 스킬도 전부 올리게 하니 44개가 나왔어요. 브라우저 조작법, 문서 생성, PDF, 스프레드시트까지. OpenAI가 문서로 밝힌 적 없는 내부 목록이 프롬프트 몇 줄에 공개 사이트가 된 셈입니다.

이 밖에도 Sol, Luna, Terra 모델로 서브에이전트를 병렬로 돌리는 기능, 정해진 시각에 프롬프트를 자동 실행하는 예약 기능이 Work에 실려 있습니다.

다 좋은데, 안전한가

여기서 해부는 경고로 바뀝니다.

윌리슨이 제창한 '치명적 3요소'는 에이전트 사고의 공식입니다. 사적 데이터 접근, 신뢰할 수 없는 외부 콘텐츠 노출, 훔친 정보를 내보낼 유출 경로. 셋이 한 시스템에 모이면 프롬프트 인젝션 한 방에 데이터가 샙니다.

챗GPT Work는 셋을 전부 갖췄습니다. 영구 파일시스템에 사적 데이터가 쌓이고, 개방된 인터넷과 브라우저로 외부 콘텐츠를 읽고, 같은 경로로 내보낼 수도 있습니다.

그런데 OpenAI는 시스템 프롬프트와 도구 설명을 여전히 비공개로 둡니다. 윌리슨의 문장이 뼈아픕니다. 문서에 그게 있었다면 이 글을 쓸 필요도 없었다고요. 제품의 방어 체계를 사용자가 역공학으로 추측해야 하는 상태입니다.

남는 생각

저는 이 물건을 에이전트 시대의 운영체제 시제품으로 읽습니다.

파일시스템이 있고, 브라우저가 있고, 네트워크가 있고, 배포 파이프라인까지 있습니다. 우리가 컴퓨터라고 부르던 것의 구성 요소가 채팅창 뒤에 다 모였어요. 다른 점은 하나, 조작 방식이 클릭이 아니라 문장이라는 것뿐입니다.

공식 문서보다 외부인의 해부가 빠른 제품은 둘 중 하나입니다. 방치됐거나, 문서화 속도보다 빨리 자라는 중이거나. 도구 223개짜리 목록을 보면 후자입니다. 다음 판의 경쟁은 모델 성능이 아니라 이 컴퓨터에 뭘 꽂느냐로 넘어갑니다. 같은 날 OpenAI가 플러그인 플랫폼 팀을 꾸려 오픈소스 스타 개발자를 영입한 것도 같은 그림의 퍼즐 조각입니다.

---

원문·소스

• Simon Willison, Understanding ChatGPT Work: https://simonwillison.net/2026/Aug/30/understanding-chatgpt-work/
• Work의 도구 223개·스킬 44개 목록 사이트: https://codex-tool-reference.simonw.chatgpt.site/