보안 기업 해크트론(Hacktron)의 연구자들이 오픈AI 내부 코드 저장소에 접근한 과정을 공개하고 AI 산업의 보안 준비가 부족하다고 경고했다고 워싱턴포스트가 현지 시각 9월 20일 보도했다. 해크트론은 앞서 9월 13일 자사 블로그에 기술 보고서 「Hacking OpenAI」를 게시했다. 참여한 연구자는 하르시 자이스왈과 모한 페다파티, 라훌 마이니 세 명이다.

연구진은 취약점 두 건을 연결했다. 출발점은 libheif의 힙 버퍼 오버플로다. libheif는 아이폰이 찍는 HEIC 사진을 열 때 쓰는 공개 소프트웨어 부품이고, 힙 버퍼 오버플로는 프로그램이 확보해 둔 메모리 범위를 넘어 읽고 쓰게 되는 오류를 말한다. 이 결함을 이용하면 서버에서 원하는 코드를 실행할 수 있다. 해당 코드는 앞서 원 개발 프로젝트에서 수정됐지만 보안 수정으로 표시되지 않아 CVE 번호도 부여되지 않았다. CVE는 공개된 보안 취약점에 붙는 국제 식별 번호다. 그 결과 데비안에 수정이 반영되지 않았다. 데비안은 리눅스 서버에서 널리 쓰는 운영체제 배포판으로, 안정성을 위해 검증된 구버전을 유지하다가 보안 문제로 확인된 수정만 따로 가져와 적용한다. 보안 문제라는 표시가 없었으니 가져올 근거도 남지 않았다.

오픈AI 커뮤니티 포럼이 쓰는 디스코스는 HEIF 파일을 이미지매직으로 전달해 처리했다. 디스코스는 기업과 단체가 이용자 게시판과 문의 창구를 운영할 때 쓰는 오픈소스 커뮤니티 소프트웨어로, 오픈AI를 비롯한 여러 기업이 공식 포럼에 쓰고 있다. 이미지매직은 서버에서 사진 형식을 바꾸거나 크기를 조정할 때 쓰는 표준 도구다. 디스코스는 자체 검사 도구가 HEIF 형식을 다루지 못하자 이미지매직에 처리를 맡겼고, 그 경로로 공격자가 만든 파일이 취약한 해석기에 그대로 도달했다. 포럼에서 확보한 계정은 오픈AI 싱글 사인온의 권한 설정 문제와 결합해 챗GPT와 코덱스 계정 접근으로 이어졌다. 싱글 사인온은 한 번 로그인하면 연결된 다른 서비스까지 함께 열어 주는 인증 방식이다. 여기서 연결된 깃허브를 거쳐 내부 코드 저장소 접근까지 이어졌다. 연구진은 “권한 상승을 가능하게 한 취약점은 디스코스 고유의 것이 아니라 포럼 침해를 챗GPT와 코덱스 접근으로 바꾼 오픈AI SSO 문제”라고 적었다.

익스플로잇은 찾아낸 취약점을 실제 공격에 쓸 수 있도록 만든 코드를 말한다. 보고서에는 AI 모델이 이 작업에 얼마나 기여했는지도 적혀 있다. 클로드 오퍼스 4.8은 메모리 주소를 무작위로 배치하는 보호 기능이 켜진 환경에서 여러 세션에 걸쳐 익스플로잇 작성에 실패했다. 같은 날 저녁 앤트로픽이 클로드 오퍼스 5를 공개했고, 연구진은 새 세션에서 약 3시간 만에 맥용 ARM64 환경의 익스플로잇을 확보한 뒤 서버에서 널리 쓰는 x86-64 환경으로 옮겼다. 자율 실행 모드에서는 모델이 원격 인스턴스를 대상으로 한 익스플로잇 작성을 거부해, 연구진이 대상 주소를 보안 경진대회 문제처럼 보이게 우회했다. 최초 발견부터 오픈AI 저장소 접근까지 걸린 시간은 72시간을 넘지 않았다.

연구진은 7월 25일 새벽 접근을 확인한 뒤 같은 날 오전 취약점 신고를 중개하는 플랫폼 버그크라우드를 통해 신고했고, 오픈AI 내부 저장소에는 README 파일을 대상으로 한 무해한 코드 수정 제안만 남긴 채 오후에 모든 테스트를 중단했다. 오픈AI는 같은 날 밤 수정을 마쳤고, 최초 제출에서 약 14시간이 걸렸다. 9월 1일 지급된 버그 바운티는 6,500달러(약 900만 원)다. 오픈AI는 디스코스가 호스팅하는 커뮤니티 포럼이 바운티 범위에서 명시적으로 제외돼 있었고 이 보상은 오픈AI 측 발견에 대한 것이라고 설명했으며, 별도로 “커뮤니티 로그인 토큰의 권한을 좁히고 해당 토큰과 세션을 폐기했다”고 밝혔다.

연구진은 보고서 끝에서 공격 비용이 달라진 점을 경고했다. 이들은 소프트웨어가 오랫동안 복잡성에 기대 보안을 유지해 왔는데 AI가 그 보호막을 걷어내고 있다며, “잘 갖춰진 팀과 몇 달의 노력이 필요하던 작업이 이제 며칠로 압축될 수 있다”고 적었다. 슬랙과 메타 등으로 대상을 넓힌 2개월치 연구 전체에 쓴 토큰 비용은 3,000달러(약 415만 원) 미만이었다. 연구진은 수천 장의 이미지를 보내고 이미지 처리기가 반복해 중단됐는데도 이 활동을 탐지한 기업은 쇼피파이뿐이었다고 밝혔다. 해크트론은 2026년 5월 프리시드 290만 달러(약 40억 원)를 유치한 샌프란시스코 소재 기업으로, 코드 변경마다 공격자 관점의 보안 시험을 자동 수행하는 플랫폼을 개발한다.

자세한 내용은 해크트론에서 확인할 수 있다.

이미지 출처: 해크트론