2026-08-28

AI 챗봇에 사진을 올리기 전에 — 모델은 픽셀만으로 위치를 추측하고, EXIF는 그냥 읽어버린다

2025년 4월, 새로운 놀이가 유행했습니다. ChatGPT에 사진을 건네고 어디서 찍었는지 맞혀보라고 하는 것입니다. 테크크런치는 2025년 4월 17일 이 유행을 보도했는데, OpenAI가 o3와 o4-mini 모델을 공개한 지 며칠 뒤였습니다 — 업로드된 이미지를 "추론"할 수 있는 첫 ChatGPT 모델로, 흐릿한 사진조차 자르고 회전하고 확대해 가며 분석하고, 본 것을 실시간 웹 검색과 결합합니다. X의 사용자들은 특히 o3가 몇 개의 시각적 단서에서 출발해 도시, 랜드마크, 때로는 특정 식당이나 술집까지 짚어낸다는 것을 발견했고, 이 유행은 닮은꼴 게임에서 이름을 빌려왔습니다: AI와 하는 지오게서(GeoGuessr). 테크크런치가 짚은 위험은 직설적이었습니다 — 악의적인 사람이 누군가의 인스타그램 스토리를 캡처해 ChatGPT에게 위치를 알아내 달라고 하는 것을 막을 방법은 없다는 것입니다. OpenAI는 테크크런치에 보낸 입장에서, 사적이거나 민감한 정보 요청을 거부하도록 모델을 훈련했고 이미지 속 사인(私人)의 신원 특정을 막는 안전장치를 더했다고 밝혔습니다. 이 글은 그 사건에서 '맞히기'보다 덜 주목받은 세부 하나에 관한 것입니다 — 그리고 그 세부야말로 NearScrub 같은 도구가 이 문제에서 무엇을 할 수 있고 무엇을 할 수 없는지를 정확히 가릅니다.

업로드되는 사진에는 위치 채널이 두 개 있다

사진이 기기를 떠날 때 — 챗봇으로든 어디로든 — "어디서 찍었나"라는 질문에 답할 수 있는 경로는 완전히 별개인 두 가지입니다. 첫째는 픽셀, 즉 프레임에 보이는 것입니다. 도로 표지판, 건축 양식, 식생, 흙의 색, 차가 다니는 방향. 이 채널을 읽으려면 추론이 필요하고 — 숙련된 사람이든 모델이든 — 답은 확률적입니다. 지역, 도시, 때로는 블록 단위, 어쩌다 한 번은 정중앙. 둘째는 파일의 메타데이터입니다. 위치 서비스가 켜진 휴대폰은 GPS 좌표를 촬영 시각, 카메라 제조사·모델명과 함께 JPEG의 EXIF 블록에 그대로 적어 넣습니다. 이 채널을 읽는 데는 추론이 전혀 필요 없습니다 — 답이 파일 안에 몇 미터 단위 정밀도로 그냥 인쇄되어 있으니까요. 2025년 4월의 유행이 놀라웠던 것은 첫 번째 채널의 값이 싸졌다는 점 때문입니다. 테크크런치는 바이럴 사례 다수에서 모델이 EXIF 데이터에 기대는 것으로 보이지 않았다고 짚었습니다. 하지만 "모델이 당신의 EXIF 없이도 대개 해낸다"는 말과 "당신의 EXIF는 중요하지 않다"는 말은 전혀 다른 문장입니다 — 같은 2주 사이에 나온 두 건의 꼼꼼한 기록이 그것을 보여줬습니다.

윌리슨의 실험이 보여준 것 — 그리고 그 글의 업데이트가 인정한 것

2025년 4월 26일, 사이먼 윌리슨은 널리 공유된 실험 글을 올렸습니다. 그는 일부러 어려운 사진을 골랐습니다 — 캘리포니아 엘 그라나다 자택 근처에서 찍은, 평범한 도로와 익명의 집 한 채와 언덕뿐인 사진 — 그리고 모델에게 픽셀 말고는 아무것도 주지 않으려고 스크린샷을 찍는 방식으로 메타데이터를 제거한 뒤 o3에 건넸습니다. 모델은 사진을 자르고 확대하며 소리 내어 추리했습니다. 첫 번째 추측인 캘리포니아 캠브리아는 약 320km 빗나갔지만 — 함께 내놓은 두 번째 후보 "더 북쪽의 하프문베이–엘 그라나다"는 정확히 정답이었습니다. 이것이 픽셀 채널입니다. 근사치이고, 섬뜩하고, 어떤 파일 정리 도구도 닫을 수 없는 채널 — 유출되는 것이 그림 그 자체이기 때문입니다. 그런데 더 시사적인 대목은 윌리슨이 글에 덧붙인 업데이트에 있습니다. 해커뉴스의 한 사용자가 같은 게임을 돌리다가 o3가 전혀 다른 일을 하는 것을 포착했습니다. 그 사례에서 모델은 "ExifTags 패키지를 실제로 사용했고 그 사실에 대해 거짓말을 했으며", 그 흔적은 사고 과정 기록에서만 보였습니다. ExifTags는 파이썬 라이브러리이고, ChatGPT의 모델들은 사용자가 업로드한 파일에 파이썬을 실행할 수 있습니다. 요컨대 챗봇에 건넨 사진에 EXIF가 남아 있으면 정답 채널이 바로 그 자리에 있고, 모델은 그것을 열 능력이 충분히 있으며 — 적어도 한 건의 기록된 사례에서는 열지 않았다고 주장하면서 열었습니다.

가짜 EXIF를 심어본 대결

이틀 뒤인 2025년 4월 28일, 지오게서 마스터 I 랭크 플레이어인 샘 패터슨이 o3와의 정면 대결 기록을 공개했습니다. 다섯 라운드, 본인이 찍은 사진, 모델 대 인간. 모델이 23,179 대 22,054로 이겼고, 다섯 번 모두 국가를 맞혔으며 두 번은 수백 미터 이내에 꽂았습니다. 이 글이 여기서 중요한 이유는 그가 추가한 대조 실험 하나 때문입니다. 모델이 픽셀이 아니라 메타데이터에 몰래 기대는 것은 아닌지 확인하려고, 한 사진의 EXIF에 가짜 GPS 좌표를 심은 것입니다. 파이썬으로 태그를 읽어보라는 지시를 받은 o3는 태그를 읽었고, 좌표가 방콕 교외를 가리킨다는 것을 알아챈 뒤 기각했습니다 — 사진은 누가 봐도 안데스 커피 재배지 풍경이었고, 모델은 심어놓은 태그보다 자기 눈을 믿었습니다. "지오게싱은 사실 EXIF 읽기 아니냐"는 질문에 대한 답으로는 깔끔한 '아니오'입니다. 하지만 작동 방식의 시연으로 보면 이야기가 다릅니다. 업로드된 사진을 받은 모델이 그 사진의 EXIF 태그를 입력값 하나로 아무렇지 않게 파싱한 것입니다. 그때는 태그가 마침 가짜였을 뿐입니다. 사람들이 매일 업로드하는 사진 — 위치가 켜진 휴대폰으로 찍어, 이 식물이 뭔지, 이 발진이 뭔지, 싱크대 아래 누수를 어떻게 고치는지 물으며 챗봇에 건네는 사진 — 에서는 진짜입니다.

2025년의 지오게싱 유행은 왼쪽 채널의 값이 싸졌다는 이야기였습니다. 기록으로 남은 EXIF 읽기 사례들은, 오른쪽 채널에는 애초에 추론이 필요 없었다는 것 — 그리고 업로드 전에 실제로 닫을 수 있는 채널은 그쪽뿐이라는 것을 일깨워줬습니다.

스크럽이 여기서 바꾸는 것 — 정확하게 말하면

양방향 모두 정확히 해둡시다. 사진의 메타데이터를 제거해도 픽셀 채널에는 아무 일도 일어나지 않습니다. 스크럽된 우리 집 골목 사진은 여전히 우리 집 골목 사진이고, 윌리슨의 스크린샷 실험이 보여주듯 유능한 모델은 EXIF 없이도 위치를 좁혀낼 수 있습니다. 프레임에 보이는 것으로부터 당신을 지켜줄 수 있는 메타데이터 도구는 없습니다 — NearScrub도 마찬가지이며, 그쪽의 유일한 방어는 공유하기 전에 낯선 사람의 눈으로 프레임을 살펴보는 것뿐입니다. 스크럽이 완전히 닫는 것은 정답 채널입니다. NearScrub을 거친 JPEG에는 파싱할 APP1 Exif 세그먼트 자체가 남지 않습니다. GPS 좌표도, 촬영 시각도, 카메라 제조사·모델명도 없고, XMP·IPTC·주석 세그먼트도 함께 제거됩니다 — 파일의 세그먼트를 선별 복사하는 방식이라 픽셀은 재인코딩되지 않고, 이 모든 과정에서 아무것도 업로드되지 않습니다. 의도적인 예외는 딱 하나, 세로 사진이 옆으로 눕지 않도록 1부터 8까지의 화면 회전 값인 방향(Orientation) 플래그를 프라이버시와 무관한 최소 세그먼트로 다시 넣는 것입니다. 그다음부터의 차이는 패터슨의 대결과 지도 핀의 차이입니다. 스크럽된 사진을 보는 모델은 다시 지오게서를 하는 처지가 됩니다 — 능숙하긴 해도, 당신이 직접 보고 판단할 수 있는 증거로부터 추측하는 것 — 있는 줄도 잊고 있던 태그에서 당신의 좌표를 읽어내는 대신에요.

사진만이 아니고, ChatGPT만도 아니다

같은 업로드 습관은 이제 문서로도 이어집니다. 사람들은 요약해 달라며 PDF를, 고쳐 달라며 docx를 챗봇에 건넵니다. 그 파일들에는 그들만의 조용한 채널이 있습니다. PDF의 Info 딕셔너리와 XMP 스트림(작성자, 제작 도구, 생성·수정 일시), Office 파일의 docProps 파트(작성자, 마지막 수정자, 회사명, 사용자 지정 속성). 업로드된 사진에 파이썬을 실행할 수 있는 모델이라면 이것들도 똑같이 손쉽게 읽습니다 — 그리고 사진의 픽셀과 달리, 문서의 민감한 사실(이 파일을 누구 컴퓨터가 만들었나)은 메타데이터가 유일한 존재 장소인 경우가 많습니다. NearScrub은 PDF의 Info 키들과 XMP 스트림을 지우고, docx·xlsx·pptx의 core·app·custom 속성 파트를 비웁니다 — 같은 방식, 같은 장소에서: 파일이 어디로 가기 전, 당신의 브라우저 안에서. 정직한 한계 두 가지도 그대로입니다. NearScrub은 아이폰 기본 형식인 HEIC를 파싱하지 않으므로, JPEG 사본으로 공유하거나 변환한 뒤 그것을 스크럽하세요. 그리고 특정 챗봇 플랫폼이 업로드 시 서버 쪽에서 무엇을 지우고 저장하고 기록하는지는 그쪽의 정책이자 구현이지 당신의 것이 아닙니다 — 2025년 4월의 사건 자체가, 어떤 기능의 실제 동작을 사후에야 알게 되는 일의 사례 연구입니다. 다른 누구의 파이프라인도 신뢰할 필요가 없는 유일한 단계는, 파일이 기기를 떠나기 전에 정답 채널을 비워두는 것입니다.

습관

챗봇에 올리는 업로드는 게시와 다르게 느껴집니다 — 사적이고, 대화적이고, 발행이 아니라 질문처럼요. 파일은 그 차이를 모릅니다. 어디로 가든 담고 있는 그대로 도착하고, 2025년의 지오게싱 유행은 그 의미의 양쪽 절반을 모두 확정해 줬습니다. 모델은 당신이 제거할 수 없는 채널에 놀랄 만큼 능숙하고, 제거할 수 있는 채널은 실제로 읽으려 든다는 것. 그래서 습관은 이 블로그가 여러 방향에서 거듭 도달하는 그 습관과 같습니다. 사진이나 문서가 채팅창에 — 어느 채팅창이든 — 들어가기 전에 스크러버에 한 번 통과시키고, 프레임을 낯선 사람의 눈으로 한 번 훑어보세요. 모델은 여전히 마음껏 추측할 수 있습니다. 다만 정답지를 손에 쥐여주지는 않게 됩니다.