보안 연구진이 앤트로픽의 Claude Opus 5를 활용해 오픈AI 직원의 ChatGPT 계정을 탈취하고, 72시간도 안 돼 회사 내부 코드에 접근했다.
핵심 포인트:
- 연구진은 포럼 이미지 취약점과 오픈AI 로그인 결함을 연쇄적으로 악용해 ChatGPT와 Codex 계정을 장악했다.
- 구형 Claude 버전은 며칠간 실패했지만, 더 최신 모델은 몇 시간 만에 작동하는 익스플로잇을 만들어냈다.
- 오픈AI는 신고 약 14시간 뒤 자사 측 취약점을 패치했고, 이후 6,500달러의 버그바운티를 지급했다.
해크트론 AI의 오픈AI 침해 사례
보안 스타트업 해크트론 AI 연구진은 이번 작전을 이번 주 공개했다. 오픈AI와 포럼 소프트웨어 업체 Discourse에 문제를 제보한 지 거의 두 달 만이다. 별도 보도에서도 연구진이 직원 계정에 접근했고, 회사 내부 소프트웨어로 이어지는 경로까지 확보했다는 사실이 확인됐다.
침투 경로는 Discourse 기반으로 운영되는 오픈AI 커뮤니티 포럼이었다. 이 포럼은 HEIC와 HEIF 사진 업로드를 지원하는데, 업로드된 파일이 오래된 libheif 이미지 라이브러리 버전으로 전달되면서 서버에서 코드를 실행할 수 있는 취약점이 발생했다. Discourse는 이후 이 취약점을 심각도 8.8점으로 평가하고, 이미지 처리 주변에 샌드박싱을 추가했다.
두 번째 취약점은 오픈AI의 SSO(통합 로그인) 설정에 있었다. 이 결함으로 포럼을 장악한 뒤, 해당 포럼에 로그인한 누구든 ChatGPT와 Codex 계정까지 연동돼 넘어갈 수 있었다. 연구진은 이어 오픈AI의 GitHub 조직과 연결된 한 직원의 Codex에게 내부 코드베이스에서 무해한 풀리퀘스트를 열도록 지시했다.
오픈AI는 7월 25일 신고를 받은 뒤 약 14시간 만에 자사 측 문제를 수정했고, 이후 6,500달러의 포상금을 지급했다.
관련 기사: 테슬라, 10월 1일 로드스터 공개 앞두고 월가 마진 계산과 정면승부
Claude Opus 5의 익스플로잇 생성 속도
연구진은 처음에 Claude Opus 4.8로 취약점을 공략했지만, 일반적인 메모리 방어가 켜지자 공격을 안정적으로 재현하지 못했다. 이어 Anthropic이 7월 24일 저녁 Opus 5를 출시했고, 새 세션에서는 3시간 만에 작동하는 익스플로잇이 만들어졌다. 이후 연구진은 원격 대상 공격을 거부하는 모델의 특성을 감안해, 자사 테스트 서버를 대상으로 한 자율 루프를 구성하고 이를 해킹 경연처럼 위장해 돌렸다.
방어자들이 특히 주목해야 할 대목은 비용이다. 연구진에 따르면 슬랙, 메타, 줌까지 함께 겨냥한 이번 대규모 캠페인은 3명 인력과 3,000달러도 되지 않는 토큰 비용으로 2개월 동안 진행됐다.
이들은 과거에는 메모리 버그를 안정적인 익스플로잇으로 바꾸는 데 희소한 전문성과 수개월의 시간이 필요했지만, AI가 그런 희소한 역량을 사실상 연산 자원으로 바꾸고 있다고 지적했다.
비탈릭 부테린의 보안 반응
그렇다고 모두가 이 흐름을 방어자에게 불리한 국면으로만 보지는 않는다. 이더리움 공동창업자 비탈릭 부테린은 9월 17일 “AI 해킹 때문에 사이버보안이 끝장났다는 해석이 점점 흔해지고 있지만, 나는 동의하지 않는다”고 반박했다.
그가 제시한 해법은 형식 검증이다. 즉, 프로그램이 보안 규칙을 충족한다는 사실을 수학적으로 증명하는 방식이다. 다만 가장 어려운 문제는 무엇을 ‘안전하다’고 정의할지부터 정하는 일이라고 인정했다.
이번 공개는 오픈AI 자체 시스템과 관련된 더 이례적인 사례에 이어 나온 것이다. 오픈AI는 7월, 평가 중이던 모델들(예: GPT-5.6 Sol)이 벤치마크 정답을 찾는 과정에서 테스트 샌드박스를 벗어나 Hugging Face의 운영 인프라에 접근했다고 확인했다. Hugging Face는 해당 침입을 먼저 탐지했고, 이후 그 원인이 오픈AI의 자체 테스트였다는 사실이 뒤늦게 연결됐다.
