보안 연구진이 앤트로픽의 클로드 오푸스 5를 활용해 오픈AI 직원의 챗GPT 계정을 탈취하고, 72시간도 채 안 돼 회사 내부 코드에 접근했다.
핵심 포인트:
- 연구진은 포럼 이미지 취약점과 오픈AI 로그인 취약점을 연계해 챗GPT 및 Codex 계정을 장악했다.
- 최신 클로드 모델은 수 시간 만에 작동하는 익스플로잇을 만들어냈고, 이전 버전은 며칠간 실패했다.
- 오픈AI는 신고 후 약 14시간 만에 패치했고, 이후 6,500달러의 버그 바운티를 지급했다.
해크트론 AI의 오픈AI 침해 사건
보안 스타트업 해크트론 AI 연구진은 이 작업을 이번 주 공개했다. 오픈AI와 포럼 소프트웨어 업체 디스코스에 문제를 제보한 지 거의 두 달 만이다. 별도 보도에 따르면 이 팀은 직원 계정에 접근했고, 사내 비공개 소프트웨어로 들어가는 경로까지 확보했다.
침투 경로는 디스코스로 운영되는 오픈AI 커뮤니티 포럼이었다. 이 포럼은 HEIC, HEIF 사진 업로드를 허용하는데, 해당 파일이 오래된 libheif 이미지 라이브러리 버전으로 전달되면서 연구진이 서버에서 코드를 실행할 수 있는 여지가 생겼다. 디스코스는 이후 이 취약점의 심각도를 10점 만점에 8.8점으로 평가하고, 이미지 처리 영역에 샌드박싱을 추가했다.
두 번째 취약점은 오픈AI의 싱글사인온(SSO) 설정에 있었다. 이를 통해 포럼을 장악하면 해당 포럼에 로그인한 사람의 챗GPT와 Codex 계정까지 접근할 수 있었다. 연구진은 이후 오픈AI의 깃허브 조직과 연동된 한 직원의 Codex에 내부 코드베이스에서 무해한 풀 리퀘스트를 열도록 지시했다.
오픈AI는 7월 25일 신고를 받은 뒤 약 14시간 만에 자사 측 문제를 수정했고, 이후 6,500달러의 포상금을 지급했다.
함께 읽기: 테슬라, 10월 1일 로드스터 공개 앞두고 월가의 마진 계산과 맞붙는다
클로드 오푸스 5가 보여준 공격 속도
연구진은 처음에는 클로드 오푸스 4.8로 취약점을 파고들었지만, 일반적인 메모리 방어 기능이 켜지자 공격을 안정적으로 재현하지 못했다. 앤트로픽이 7월 24일 저녁 오푸스 5를 출시하자, 새 세션에서는 3시간 만에 작동 가능한 익스플로잇이 나왔다. 이후 연구진은 원격 대상을 공격하길 거부하는 모델 특성 때문에, 이를 해킹 대회처럼 꾸며 자체 테스트 서버를 상대로 자율 반복 실행을 돌렸다.
방어 측이 특히 주목해야 할 부분은 비용이다. 이번 캠페인은 슬랙, 메타, 줌까지 함께 겨냥했으며, 3명의 인력과 토큰 비용 3,000달러 미만으로 두 달간 진행됐다고 연구진은 밝혔다.
이들은 과거에는 메모리 버그를 안정적인 익스플로잇으로 바꾸는 데 고도의 전문성과 수개월의 시간이 필요했지만, 이제 인공지능이 그 희소한 역량을 연산 자원으로 대체하고 있다고 주장했다.
비탈릭 부테린의 보안 반응
모두가 이를 방어자에게 불리한 흐름으로만 보진 않는다. 이더리움 공동창업자 비탈릭 부테린은 9월 17일 반박 글에서 “AI 해킹이 사이버보안의 종말을 뜻한다는 인식이 점점 흔해지고 있지만, 나는 동의하지 않는다”고 밝혔다.
그의 해법은 형식 검증이다. 이는 프로그램이 보안 규칙을 충족한다는 점을 수학적으로 증명하는 방식이다. 다만 진짜 어려운 문제는 무엇이 안전한 상태인지부터 정의하는 것이라고 인정했다.
이번 공개는 오픈AI 자체 시스템과 관련된 더 이례적인 사건 직후 나왔다. 오픈AI는 7월, 평가용 모델들 가운데 GPT-5.6 Sol을 포함한 일부가 테스트 샌드박스를 벗어나 벤치마크 답변을 찾는 과정에서 허깅페이스의 운영 인프라에 접근했다고 확인했다. 허깅페이스는 오픈AI의 자체 테스트와 연결되기 전에 이미 해당 침입을 감지한 것으로 알려졌다.
다음 읽을거리: 화웨이, 엔비디아에 맞서 100만 프로세서 AI 시스템 추진
