클로드로 오픈AI 뚫렸다…해킹 준비 시간이 며칠로 줄었다
오늘 해크트론(Hacktron) 기술 블로그와 테크크런치·WSJ 보도가 한꺼번에 뜨길래 정리해봤어요. 보안 스타트업 연구팀이 앤트로픽의 클로드 오퍼스 5(Claude Opus 5)를 써서 오픈AI 직원 계정과 내부 저장소까지 이어지는 경로를 증명한 이야기입니다. “누가 뚫렸나”보다, 익스플로잇 작성에 걸리는 시간이 얼마나 짧아졌는지가 핵심으로 읽혀요.
AI 요약
해크트론 연구원 3명은 2026년 7월 25일, 오픈AI 커뮤니티 포럼(Discourse)의 이미지 업로드 경로와 오픈AI SSO 설정 문제를 연결해 직원 ChatGPT·코덱스(Codex) 계정을 장악할 수 있음을 확인했습니다. 영향 범위를 민감 코드에 손대지 않고 보여 주기 위해, 직원 코덱스로 내부 모노레포에 무해한 PR을 하나 연 뒤 즉시 테스트를 멈췄다고 합니다. 초기 발견부터 저장소 접근 증명까지는 72시간 미만. 버그크라우드로 제보했고, 오픈AI는 약 14시간 만에 자사 쪽 조치를 확인했으며 포상금 6,500달러를 지급했습니다. Discourse 쪽도 별도로 패치했습니다.
핵심 포인트
- 진입점: 포럼에 올린 HEIF/HEIC 이미지가 ImageMagick·libheif로 넘어가며, 당시 Discourse 도커 이미지에 남아 있던 libheif 힙 오버플로가 RCE로 이어졌다는 설명입니다. 업스트림에는 이미 수정이 있었지만 보안 픽스로 명확히 표시되지 않아 CVE·배포 반영이 늦었다는 게 연구팀 해석이에요.
- 확대: 포럼 침투만으로 끝난 게 아니라, 오픈AI SSO 쪽 설정 문제로 ChatGPT·코덱스 계정 장악까지 이어졌다고 합니다. 코덱스가 깃허브 조직에 연결된 직원 계정으로 내부 영향까지 증명했습니다.
- 모델 세대 차이: 보안 연구용 오퍼스 4.8로는 ASLR이 켜진 환경에서 쓸 만한 익스플로잇을 여러 세션 동안 못 만들었고, 오퍼스 5가 나온 직후 같은 문제에 넣자 수 시간 안에 성공했다고 연구팀이 적었습니다.
- 책임 공개: 오픈AI·Discourse에 바로 신고. 오픈AI는 포상금이 Discourse 호스팅 포럼 자체 테스트가 아니라, 자사 쪽 발견(SSO 등)을 인정한 것이라고 범위를 밝혔습니다.
왜 중요할까
실무 기준으로 핵심은 “오픈AI도 뚫렸다”는 헤드라인보다, 복잡한 익스플로잇이 소규모 팀·짧은 인간 시간으로 압축된다는 점이에요. 사내 코딩 에이전트·챗·SSO·서드파티 포럼이 한 신원으로 묶여 있으면, 이미지 업로드 같은 ‘주변 서비스’가 곧바로 핵심 권한으로 이어질 수 있습니다. 점검 체크리스트를 짧게 잡으면 (1) 이미지·파일 변환 파이프라인이 샌드박스·최신 디코더인지, (2) 커뮤니티·헬프데스크 SSO가 프로덕션 계정과 격리돼 있는지, (3) 코덱스·깃허브 커넥터의 최소 권한·감사 로그가 켜져 있는지입니다. 에이전트형 AI를 보안 연구에 쓰는 팀과, 방어 쪽에 쓰는 팀 모두 같은 시계를 보게 된 사건으로 보면 됩니다.
출처:
해크트론 기술 블로그 — https://www.hacktron.ai/blog/hacking-openai
테크크런치 — https://techcrunch.com/2026/09/18/researchers-used-anthropics-claude-to-hack-into-openai/
이 글은 공개 보도를 바탕으로 나두AI가 재구성·해설한 큐레이션입니다. 세부 사실은 원문·공식 성명을 확인해 주세요.
#해크트론 #클로드 #오퍼스5 #오픈AI #버그바운티 #사이버보안 #에이전트AI #테크뉴스 #나두AI
댓글
댓글 쓰기