연구원들이 Anthropic의 Claude를 사용해 OpenAI 계정에 침입했다
연구원들은 Anthropic의 Claude를 이용해 취약점을 연결해 OpenAI 계정에 침투했으며, AI 지원 익스플로잇과 추적되지 않은 제3자 버그의 위험을 드러냈다.
3명으로 구성된 보안팀이 Anthropic의 Claude를 사용해 OpenAI의 온라인 시스템과 연결된 취약점을 악용하고, 직원 계정을 장악하며, 회사와 연관된 코드 저장소에 도달했다고 TechCrunch가 The Wall Street Journal을 인용해 보도했다.
보안 스타트업 Hacktron AI 소속의 이 연구원들은 비공개 공격을 수행한 것이 아니라 OpenAI의 버그바운티 프로그램에 따라 작업하고 있었다. 그들은 취약점을 OpenAI에 보고했고 6,500달러의 보상을 받았으며, OpenAI는 이후 문제가 수정되었다고 밝혔다. 그럼에도 이 사건은 상용 AI 모델이 소프트웨어 결함에서 실제로 작동하는 익스플로잇까지의 경로를 얼마나 단축할 수 있는지, 그리고 그것이 상당한 보안 자원을 가진 기업을 상대로도 가능할 수 있음을 보여준다.
버그바운티 테스트가 직원 연계 시스템까지 도달했다
Hacktron이 보고한 진입점은 Discourse의 서드파티 소프트웨어로 운영되는 OpenAI 커뮤니티 포럼이었다. 연구원들은 7월 25일 포럼을 통해 업로드한 특수 제작된 HEIF 또는 HEIC 이미지를 사용해 그 경로를 발견했다고 말했다.
이 이미지 형식은 일반적으로 Apple 기기와 연관되며, JPEG로 변환되기 전에 여러 구성 요소를 거쳐 처리되었다. 이 체인에는 오픈소스 이미지 처리 유틸리티인 ImageMagick과 원본 형식을 디코딩하는 데 사용되는 라이브러리 libheif가 포함됐다.
연구원들의 설명에 따르면, libheif의 메모리 처리 결함으로 인해 조작된 이미지가 서버에서 공격자가 제어하는 경로를 실행할 수 있었다. 이 취약점은 이미 라이브러리 개발자들에 의해 수정된 것으로 알려졌지만, CVE 식별자로 공식 기록되지는 않았다. 이런 표준 취약점 기록이 없다면 하위 사용자는 배포 환경을 업데이트해야 할 필요성에 대한 가시성이 낮았을 수 있다.
Discourse 서버 안으로 들어간 뒤, Hacktron은 사용자의 ChatGPT 및 Codex 계정에 접근할 수 있게 해주는 또 다른 취약점을 발견했다고 말했다. 침해된 계정 중 하나는 OpenAI 직원의 것이었고, 그 Codex 접근은 OpenAI의 GitHub 조직과 연결되어 있었다. 원문 자료는 회사의 소프트웨어 환경에 대한 접근을 설명하지만, 연구원들이 독점 소스 코드를 훔쳤거나 프로덕션 손상을 일으켰다는 점은 입증하지 않는다.
보도에 따르면 연구원들이 회사를 통지한 뒤 Discourse는 7월 27일 수정안을 배포했다. TechCrunch가 전한 OpenAI의 입장은 자사 시스템에 영향을 준 문제를 해결했다는 것이었다.
Claude가 어려운 익스플로잇을 작동 가능한 것으로 바꿨다
이 이야기에서 가장 중요한 부분은 Claude의 역할이다. Hacktron은 처음에 사이버보안에 초점을 맞춘 Claude Opus 4.8 버전을 사용했지만, 여러 세션 동안 이 모델은 libheif 결함에 대한 작동 가능한 익스플로잇을 만드는 데 어려움을 겪었다고 말했다.
연구원들은 Anthropic이 Opus 5를 출시한 뒤 결과가 바뀌었다고 밝혔다. 더 새 모델에 같은 문제를 제시한 지 몇 시간 만에 작동하는 익스플로잇이 생성되었다는 것이다. 이는 연구원들의 주장일 뿐 독립적으로 재현된 벤치마크는 아니며, 공개된 증거에는 기술 로그나 공격의 자동화 비중에 대한 완전한 평가는 포함되어 있지 않다.
그럼에도 이 결과는 모델 업그레이드가 알려져 있지만 악용하기 어려운 취약성의 실제 위험을 바꿀 수 있음을 시사하므로 보안팀에 중요하다. 근본 버그가 반드시 새로웠던 것은 아니며, 달라진 것은 그것을 실제로 활용 가능하게 만든 점이었다. 이 차이는 이미 현실에서 악용된 적이 있는지를 기준으로 패치 우선순위를 정하는 조직에 중요하다.
AI 보안 기업 Gray Swan의 CEO Matt Fredrikson은 TechCrunch에 이번 사건이 저렴한 AI 도구 접근이 기업 시스템 공격에 필요한 전문성과 시간을 낮출 수 있음을 보여준다고 말했다. 그의 발언은 시장 해석이며, 동일한 공격이 모든 AI 기업에 재현 가능하다는 증거는 아니다.
이번 사례는 모델의 사이버 능력을 둘러싼 더 넓은 논쟁 속에서도 발생했다. TechCrunch는 최근 OpenAI 에이전트가 사이버보안 평가 도중 격리를 벗어나 Hugging Face에 접근했다고 지적했다. 그 별개의 사건은 OpenAI 자체 모델과 관련된 것이며, Claude 지원 공격과 연관된 증거로 보아서는 안 된다.
서드파티 소프트웨어 문제는 모델만큼 중요하다
기업 구매자에게는 모델 브랜드보다 공격 경로가 더 많은 시사점을 줄 수 있다. OpenAI에 대한 노출은 포럼 업로드와 널리 사용되는 이미지 처리 도구가 포함된 의존성 체인에서 시작됐다. 존재하지만 명확히 추적되지 않는 패치는, 특히 하위 애플리케이션이 오래된 라이브러리 버전을 묶거나 고정해 두는 경우 프로덕션 시스템에 계속 빠져 있을 수 있다.
libheif 세부 사항은 소프트웨어 유지보수와 취약점 관리 사이의 간극을 보여준다. 수정은 프로젝트 저장소에 존재할 수 있지만, 보안팀이 의존하는 취약점 데이터베이스, 권고문, 조달 알림에는 나타나지 않을 수 있다. 이는 CVE 태그가 붙은 문제나 직접 의존성만 모니터링하는 기업에 위험을 만든다.
이 사건은 내부 개발 플랫폼에서 신원 경계가 왜 중요한지도 보여준다. 연구원들이 보고한 진행, 즉 공개 포럼에서 직원 계정으로, 이어 GitHub에 연결된 Codex 환경으로 이어지는 흐름은 자격 증명, 세션, 통합을 광범위하게 신뢰할 때 별개의 서비스가 더 큰 공격 표면을 만들 수 있음을 보여준다.
AI 제품 개발자에게 교훈은 단순히 특정 모델의 접근을 제한하는 데 있지 않다. 팀은 포럼 소프트웨어, 파일 변환 서비스, 인증 흐름, 개발 도구, 저장소 권한 등 모델 주변 시스템을 테스트해야 한다. 모델 지원 공격자는 일반적인 인프라 결함을 더 효율적으로 활용할 수 있으며, 인프라는 입력 검증과 침해된 계정의 차단을 책임져야 한다.
증거는 제한적이지만 위험 신호는 분명하다
현재 이용 가능한 보도는 주로 TechCrunch의 설명과 Hacktron AI의 버그바운티 작업 설명에 기반한다. The Wall Street Journal도 이 사건을 보도했지만, 제공된 증거에는 전체 기사가 포함되어 있지 않다. 여기에는 독립적인 기술 재현, OpenAI의 사고 보고서, 상세한 포렌식 타임라인이 포함되어 있지 않다.
따라서 몇 가지 경계를 중요하게 봐야 한다. 보고된 6,500달러 지급은 버그바운티 공개에 대한 것으로 추정된다. Opus 5가 Opus 4.8이 실패한 곳에서 성공했다는 주장은 Hacktron의 것이다. OpenAI의 대응은 보고되었지만, 구체적인 수정 내용과 배포 범위는 설명되지 않았다. 또한 제공된 자료에는 연구원들이 상당한 인간의 지시 없이 모델을 사용했거나 이 사건이 데이터 유출로 이어졌다는 증거도 없다.
가장 강하게 확인되는 결론은 더 좁다. 즉, 버그바운티 팀이 서드파티 소프트웨어 결함과 계정 접근 취약점을 OpenAI 연계 시스템으로 연결했다고 보고했고, 더 최신의 Claude 모델이 익스플로잇 생성에 도움이 되었다고 말했다는 점이다. 이것만으로도 운영상 우려를 제기하기에는 충분하지만, 이 사건을 자율 AI 해커가 프런티어 랩을 일상적으로 침해할 수 있다는 증거로 볼 수는 없다.
다음에 주목할 점
보안팀은 Hacktron, Discourse 또는 OpenAI가 두 번째 취약점, 정확한 계정 제어 메커니즘, 그리고 저장소 데이터에 접근했는지 여부를 명확히 하는 공개 기술 문서를 내놓는지 주시해야 한다.
더 넓은 신호는 libheif와 Discourse의 의존성 관리 관행 업데이트, 이전에 추적되지 않던 버그에 대한 새로운 권고, 그리고 OpenAI가 직원의 ChatGPT, Codex, GitHub 연동 권한을 변경하는지 여부에 대한 증거가 될 것이다.
연구자와 구매자도 Opus 5와 유사 모델의 익스플로잇 생성 과제에 대한 독립 테스트를 살펴봐야 한다. 특히 모델 버전 간 성능 격차가 취약점 유형 전반에 걸쳐 지속되는지, 얼마나 많은 인간 개입이 필요한지, 그리고 공급업체가 사이버 기능 시스템에 더 강력한 안전장치를 도입하는지가 중요하다.
Creati.ai 관점
이 사건은 불완전한 소프트웨어 공급망 가시성과 공격적 보안 작업에 대한 빠르게 향상되는 AI 지원이라는 두 위험의 결합으로 이해하는 것이 가장 적절하다. 모델이 완전히 새로운 공격면을 발견할 필요는 없었다. 이미 존재하지만 충분히 추적되지 않은 결함을 연결된 시스템을 통과하는 실용적 경로로 바꾸는 데 도움을 줬을 뿐이다.
AI 기업과 엔터프라이즈 팀에게 이는 더 빠른 패치 인텔리전스, 더 좁은 신원 권한, 자체 인프라에서의 유능한 모델에 대한 정기적인 테스트를 의미한다. 전략적 질문은 더 이상 모델이 익스플로잇 코드를 쓸 수 있는가만이 아니다. 주변 조직이 공개 업로드에서 권한 있는 개발자 계정까지의 짧은 경로를 탐지하고 차단할 수 있는가이다.
