클로드에게 시켰더니 오픈AI 뚫렸다…AI 해킹 ‘전문가 영역’ 무너뜨리나
아이티데일리 (IT DAILY) ·
✦ AI 요약
AI가 사이버 공격의 진입장벽과 비용·시간을 낮출 수 있다는 우려가 제기됐다.
보안 연구진은 앤트로픽의 Claude와 오픈AI의 GPT-5.6 Sol 등을 활용해 72시간 안에 오픈AI 직원 계정과 내부 코드 저장소로 이어지는 공격 경로를 입증했다.
연구진은 내부 소스코드를 열람·유출하지 않았고, 디스코스와 오픈AI는 관련 취약점에 대해 수정과 대응을 진행했다.
인공지능(AI)이 과거 높은 전문성이 필요했던 사이버 공격의 진입장벽을 낮추고, 더 적은 인력과 짧은 시간으로 공격 절차를 수행하게 만들 수 있다는 점이 제기됐다. AI가 사이버 공격의 비용과 시간을 크게 절감할 수 있다는 우려도 함께 나온다.
사례로 보안 연구진 3명은 앤트로픽 AI 모델 '클로드'를 활용해 72시간 안에 오픈AI 직원 계정→내부 코드 저장소 연결 공격 경로를 입증했다. 이 과정은 소수 연구자만으로도 공격의 전 과정을 연결할 가능성을 확인한 사례로 제시됐다.
연구진은 상용 AI 모델을 이미지 파일 취약점 분석, 공격 코드 제작, 계정 탈취, 내부 개발환경 접근에 활용했다. 다만 연구진은 오픈AI 내부 소스코드의 열람과 유출은 실행하지 않았다.
미국 보안 스타트업 핵트론AI(Hacktron AI)는 최근 '오픈AI 해킹(Hacking OpenAI)' 보고서를 공개했다. 핵트론AI(Hacktron AI)는 이미지 처리 라이브러리 취약점을 이용해 오픈AI 직원의 챗GPT 계정에 접근했고, 오픈AI 직원의 코덱스 계정에도 접근했다고 발표했다.
사진 한 장에서 시작된 침투로, 연구진은 오픈AI의 개발자 커뮤니티 운영용 외부 포럼 솔루션 Discourse를 출발점으로 삼아 HEIC·HEIF 이미지 처리 절차의 약점을 공략했다. 공격 표적 취약점은 Discourse의 이용자 업로드 HEIC·HEIF 파일 처리 과정이었다.
Discourse의 HEIC·HEIF 변환 도구는 ImageMagick이었고, 이 변환 과정에서는 libheif의 취약한 버전이 호출됐다. 이 취약 버전이 사용된 원인은 Discourse 컨테이너 기반 Debian 운영체제에 관련 보안 수정이 미적시 반영됐기 때문이었다.
오픈AI와 디스코스 공격 코드 개발에는 앤트로픽의 Claude Opus 4.8과 Opus 5가 사용됐다. 이후 연구 범위는 슬랙, 메타 등으로 넓어졌다.
대상 확장 'HEIF 하이스트' 전체 연구에는 오픈AI의 GPT-5.6 Sol도 활용됐다.
조작된 이미지 파일을 공격자가 업로드하면 서버의 변환·미리보기 생성 과정에서 메모리 손상이 가능하고, 같은 과정에서 정보 유출도 가능하며, 원격 코드 실행(RCE)도 가능하다고 제시됐다. 핵트론AI는 이 이미지 처리 라이브러리 공격을 HEIF 하이스트(HEIF Heist)로 명명했다.
연구진은 지난 7월 23일 디스코스의 이미지 업로드 처리 경로 분석을 시작했다. 클로드 오퍼스 4.8은 ASLR 해제 환경에서 작동하는 공격 코드를 작성했지만, 디스코스 기본 보안 설정 적용 환경에서는 안정적 공격 코드 완성에 실패했다.
이후 오퍼스 5 출시 후 상황이 변화했다. 연구진의 설명에 따르면 오퍼스 5는 출시 수 시간 만에 로컬 환경용 작동 공격 코드를 작성했고, 오퍼스 5가 만든 공격 코드는 디스코스 서버 환경에 맞게 수정됐다. 이어 연구진은 자체 디스코스 클라우드 환경에서 AI 에이전트를 실행했고, 자체 디스코스 클라우드 환경에서 원격 코드 실행에 성공했다.
연구진은 먼저 AI 생성 공격 코드를 활용해 오픈AI 커뮤니티의 디스코스 환경에 침투했다. 이어 디스코스 환경에서 원격 코드 실행을 확보했고, 디스코스 환경에서 관리자 권한도 확보했다. 이는 최초 분석 시작 후 이틀 만에 나온 결과였다.
이번 포럼 취약점은 디스코스 서버 침해로만 종료되지 않았다. 오픈AI 계정의 포럼 로그인 이용자 인증정보는 챗GPT·코덱스 계정과 연결된 통합로그인(SSO) 구조였다. 이 SSO 구조가 다음 공격 경로가 됐다.
핵트론AI는 포럼 접속 이력이 있는 이용자를 대상으로 하면 추가 클릭·입력 없이 챗GPT·코덱스 계정 접근이 가능하다고 설명했다. 핵트론AI는 또 포럼 접속 이력만 있는 이용자도 별도 상호작용 없이 챗GPT·코덱스 계정 접근이 가능하다는 취지로 밝혔다.
연구진은 이 방법으로 오픈AI 직원 1명의 계정 접근 권한을 확보했다. 해당 직원의 코덱스 계정은 오픈AI의 깃허브 조직과 연결돼 있었다. 연구진은 직원 코덱스 계정으로 오픈AI 내부 모노레포에 무해한 풀리퀘스트(PR)를 생성했다.
이 풀리퀘스트 생성으로 저장소 변경 요청 권한이 입증됐다. 그 결과 공격은 포럼 자체를 넘어 오픈AI 직원 계정 접근과 오픈AI 내부 모노레포에 대한 PR 생성까지 이어졌고, 권한 범위가 확인됐다.
연구진은 오픈AI 내부 소스코드를 열람·다운로드하지 않았다고 밝혔다. 또 최초 취약점 분석부터 오픈AI 내부 모노레포 풀리퀘스트 생성까지 걸린 시간은 72시간 미만이었다. 연구진은 오픈AI 내부 자산까지 영향을 이어갈 수 있음을 확인한 뒤 이후 추가 시험을 중단했다.
연구진은 버그크라우드(Bugcrowd)를 통한 오픈AI 제보 경로로 이를 신고했다. 핵트론AI는 오픈AI의 수정 통보 시점이 최초 신고 약 14시간 뒤였다고 설명했다. 오픈AI는 디스코스 호스팅 community.openai.com에 대한 시험이 자사 버그바운티 프로그램 허용 범위에서 명시적으로 제외된다고 밝혔다.
오픈AI가 지급한 포상금은 6500달러(약 900만 원)였다. 다만 포상금 지급 대상은 디스코스 대상 행위가 아니었다. 포상금 사유는 오픈AI 측에서 발견된 문제였으며, 핵트론AI는 해당 문제가 포럼 침해가 챗GPT·코덱스 계정 접근으로 이어지게 한 오픈AI SSO 구성 취약점이라고 설명했다.
디스코스는 해당 취약점의 공개 명칭을 'CVE-2026-32882'로 밝히고, 보안 심각도 평가를 8.8/10으로 제시했다. 심각도 등급은 '높음'이다. 디스코스 보안 권고에 따르면 조작된 HEIF 파일이 업로드될 경우 libheif 취약점을 통해 원격 코드 실행이 가능하다.
디스코스는 이에 대한 조치로 관련 라이브러리를 교체했다. 또한 이미지 처리 프로그램을 별도 샌드박스에서 실행하도록 대응했다.
이번 연구의 의미를 비전문가가 명령 한 줄만으로 대형 기술기업을 해킹할 수 있는 상태가 됐다는 뜻으로 볼 수는 없다고 정리된다. 핵트론AI는 공격이 완전 자율 수행은 아니라고 밝혔고, 숙련된 보안 연구자의 방향 설정이 중요하며 숙련된 보안 연구자의 판단도 중요하다고 밝혔다.
대신 AI가 취약점 분석, 공격 코드 작성, 오류 수정, 대상별 코드 변형처럼 많은 시간이 드는 반복 작업을 맡으면서 전문가 1인이 처리할 수 있는 작업량은 늘어났다. 그 결과 소수 인력도 과거 대규모 조직 수준의 공격 시도를 할 수 있게 됐다.
핵트론AI는 공격 수행에 필요한 시간과 전문성의 장벽이 낮아지고 있다고 분석했다. 기존에 충분한 자원·수개월 필요 작업이 이제 며칠 수준으로 단축 가능해졌고, 희소했던 공격 전문성은 컴퓨팅 자원으로 전환되는 추세라고 봤다.
핵트론AI는 그 의미로 국가 지원 해킹조직·전문 사이버범죄 집단 외에도 일정 자금·보안 지식을 보유한 소규모 조직이 복잡한 공격을 시도할 가능성을 제시했다. 또한 이미 존재하는 취약점을 실제 공격으로 전환하는 능력의 대중화가 새로운 취약점 탐지 능력보다 먼저 나타날 가능성이 있다고 봤다.
이와 관련해 방어 조직의 과제는 탐지 능력이라고 짚었다. 실제로 연구진은 여러 기업을 대상으로 수천 개의 조작 이미지를 전송했고, 그 결과 일부 이미지 처리 서버에서 반복 충돌을 유발했다. 연구진이 파악한 범위에서 이를 탐지한 기업은 쇼피파이뿐이었다.
이에 따라 기업에는 관련 이미지 처리 라이브러리를 보안 패치가 적용된 최신 버전으로 갱신하고, 불필요한 서비스에서 외부 HEIF·AVIF 파일 처리를 차단하며, 이미지 처리가 필요할 경우 디코더를 별도 샌드박스에 격리하는 대응이 요구된다.
글은 외부 포럼·협업 도구가 침해되더라도 내부 개발환경으로 확산되지 않도록 외부 서비스·사내 계정의 권한을 분리할 필요가 있다고 설명한다. 또한 SSO 계정을 통한 내부 개발환경 접근을 차단할 필요가 있으며, 최소권한 원칙을 적용할 필요가 있다고 짚는다.
이어 비정상적 파일 업로드를 감시할 필요가 있고, 이미지 처리 프로그램의 반복적 충돌을 감시할 필요가 있으며, AI 에이전트 사용 계정의 작업 기록을 감시할 필요가 있다고 제시한다. 아울러 이번 사건의 성격은 AI가 보안 전문가를 완전히 대체한 것이 아니라 전문가가 수행 가능한 공격의 속도·범위를 확대한 사례로 보고, AI가 공격 개발 시간과 공격 개발 비용을 절감할 가능성이 있으며 이 같은 공격 개발의 가속이 기업의 탐지·패치 속도를 추월할 경우 그 격차 자체가 새로운 보안 위협이 될 가능성이 있다고 연결한다.
출처: 아이티데일리 (IT DAILY) · 이재영 기자
원문: https://www.itdaily.kr/news/articleView.html?idxno=241739
참고자료
이 기사는 자동생성 알고리즘의 도움을 받아 작성되었습니다.
출처 아이티데일리 (IT DAILY)
원문 확인이 기사는 아이티데일리 (IT DAILY) 원문을 바탕으로 비즈크러시가 요약 정리했습니다. 정확한 인용과 세부 내용은 원문을 확인해 주세요.