한 그룹이 '허깅 페이스dent 몇 주 후, 앤트로픽의 클로드(Claude)를 이용해 오픈AI를 해킹해 6,500달러를 벌어들였습니다

보안 스타트업tron AI의 3인 팀은 두 가지 취약점을 이용해 OpenAI 직원의 ChatGPT 계정을 해킹하고 회사의 비공개 코드에 접근했습니다. 

전체 침입은 72시간도 채 걸리지 않았으며, 공격자들은 Anthropic의 Claude를 이용하여 메모리 손상 취약점을 구축했습니다. 

tron AI는 어떻게 OpenAI의 비공개 코드에 접근했을까요?

OpenAI는 Discourse 플랫폼에서 운영되는 자사 도움말 포럼인 community.openai.com에서 발견된 버그를 통해 비공개 코드가 유출된 사건으로 인해 6,500달러의 배상금을 지불해야 했습니다.

Hacktrontron연구원 인 Harsh Jaiswal, Mohan Pedhapati, Rahul Maini는 누군가가 HEIC 또는 HEIF 형식의 사진을 업로드하면 포럼의 일반적인 보안 검사 도구(FastImage라는 도구)가 해당 형식을 지원하지 않기 때문에 이를 건너뛴다는 사실을 발견했습니다. 

대신 사진은 ImageMagick이라는 프로그램으로 바로 전달되었고, ImageMagick은 libheif라는 코드 라이브러리를 사용하여 사진을 열었습니다. 

해당 버전의 libheif에는 공격자가 사진으로 위장한 악성 코드를 몰래 삽입할 수 있도록 하는 "힙 버퍼 오버플로" 버그가 있었습니다.

7월 23일, 팀은 이 버그 테스트를 시작했습니다. 처음에는 Claude Opus 4.8에게 공격 코드를 작성하도록 요청했지만, ASLR이라는 보안 기능이 활성화되자 제대로 작동하지 못했습니다. 이 기능은 프로그램이 데이터를 저장하는 위치를 무작위로 변경하여 공격을 어렵게 만듭니다. 

그날 저녁, Anthropic은 Claude Opus 5 모델을 출시했고, 팀은 다시 시도했습니다. 몇 시간 만에 생성했습니다 . 그런 다음 Discourse에서 사용하는 정확한 컴퓨터 설정에 맞게 코드를 수정했습니다. 

7월 25일 이른 아침, 그들은 형편없는 사진 한 장을 업로드하는 것만으로 디스커스 서버에서 자신들의 코드를 실행할 수 있게 되었습니다.

그것만으로는 OpenAI의 개인 정보에 접근하기에 충분하지 않았지만, 연구팀은 OpenAI가 단일 로그인(SSO) 시스템을 구축한 방식에서 두 번째 문제를 발견했습니다. 포럼에 사용된 로그인 정보를 이용해 ChatGPT와 Codex(OpenAI의 코딩 도구) 계정, 심지어 직원 계정까지 탈취할 수 있었던 것입니다. 

탈취한 직원 계정 하나를 이용해 그들은 OpenAI의 비공개 코드 저장소인 "모노레포(monorepo)"에 접근했습니다. 접근 권한을 확보했음을 증명하기 위해, 그들은 Codex를 통해 해당 비공개 저장소에 "풀 리퀘스트(pull request)"라고 불리는 작고 무해한 코드 변경 요청을 제출했습니다. 

포럼 소프트웨어 회사인 Discourse는 7월 28일 보안 공지를 통해 이미지 버그를 확인하고 수정했으며, 심각도 등급은 10점 만점에 8.8점으로 평가했습니다. 해당 버그의 공식 trac번호는 CVE-2026-32882입니다. 

Hacktron 7월 25일 버그 바운티 플랫폼인 Bugcrowd를 통해 OpenAI에 로그인 문제를 보고했고, OpenAI는 약 14시간 후 수정 사항을 확인했습니다. OpenAI는 9월 1일에 6,500달러의 포상금을 지급했습니다. 

회사 측은 디스커스 포럼 자체 테스트는 기술적으로 현상금 프로그램 대상에 포함되지 않으므로 보상은 로그인 취약점에만 해당된다고 밝혔습니다. 

tron 동일한 이미지 버그를 이용해 Slack, Meta Platforms(NASDAQ: META), Zoom, Shopify 등 다른 회사에도 접근했다고 주장하지만, 현재까지 OpenAI 사례만 완전한 타임라인과 증거가 확인되었습니다.

이것이 인공지능 안전에 어떤 의미를 갖는가? 

이번 침입 사건이 발생하기 몇 주 전인 7월, OpenAI는 "허깅 페이스dent내부 모델이 샌드박스를 탈출하여 제3자의 프로덕션 시스템에 도달한

앤트로픽은 별도로 클로드(Claude)가 비공개 사이버 평가 도중 실제 인터넷에 접속할 수 있었던 사례 3건을 발견했으며, 이로 인해 실제 조직들이 침해당했다고 밝혔습니다.

마이크로소프트의 AI 책임자인 무스타파 술레이만은 이번 주 한 에세이에서 '허깅 페이스' 에피소드에 사용된  1,200개의 에이전트 무리를 언급하며 , 점점 더 자율화되는 모델들을 제어하기가 더욱 어려워지고 있다고 주장했습니다

tron 사례는 기업들이 현재 GitHub, Slack, 이메일 및 클라우드 스토리지에 통합하고 있는 바로 그 종류의 AI 코딩 도우미가 전문가들이 수작업으로 오랜 시간을 들여야 했던 심각한 해킹 작업을 가속화할 수 있을 만큼 발전하고 있다는 것을 보여주는 실제적이고 문서화된 사례를 제공합니다.

이 글을 읽고 계시다면 이미 앞서 나가고 계신 겁니다. 뉴스레터를 구독하시면 더욱 유익한 정보를 받아보실 수 있습니다.