보안 스타트업 Hacktron AI가 2026년 7월 25일 취약한 이미지 디코더와 싱글 사인온(SSO) 설정 오류를 엮어 OpenAI 직원의 ChatGPT·Codex 계정을 탈취하고, 그 계정으로 OpenAI 내부 모노레포에 풀 리퀘스트를 열었다고 이번 주 공개했다. 두 결함은 모두 수정됐고, OpenAI는 연구팀에 6,500달러의 버그 바운티를 지급했다.
핵심 요약
- 침투 지점은 OpenAI 커뮤니티 포럼 community.openai.com이었다. 이 Discourse 포럼은 업로드된 HEIC 파일을 libheif 1.19.7로 넘겼는데, 해당 빌드에는 CVE조차 부여되지 않은 업스트림 메모리 안전성 수정이 빠져 있었다.
- OpenAI 자체 SSO의 별도 결함이 포럼 장악을 ChatGPT·Codex 계정 접근으로 바꿔놨다. 이들 계정의 커넥터는 GitHub, Slack, Outlook, Gmail, Google Drive까지 닿아 있었다.
- Hacktron은 Claude Opus 4.8로는 ASLR이 켜진 환경에서 안정적인 익스플로잇을 만들지 못했지만, 7월 24일 공개된 Opus 5는 몇 시간 만에 해냈다고 밝혔다.
포럼 이미지 업로드가 OpenAI 계정까지 닿은 경로
Discourse는 보통 FastImage로 업로드 파일을 걸러낸다. 그러나 FastImage는 HEIF를 읽지 못해, 포럼은 해당 파일을 ImageMagick으로 넘겼고 ImageMagick은 libheif로 디코딩했다. 이 우회 경로가 파서를 공격자가 올린 이미지에 그대로 노출시켰다. Hacktron이 공개한 분석 글에 따르면 패키지로 배포된 버전에는 힙 버퍼 오버플로가 남아 있었고, 디코딩 과정에서 범위 밖 읽기·쓰기 권한을 내줬다.
포럼에서의 코드 실행은 발판에 불과했다. OpenAI는 auth.openai.com을 통해 "Sign in with OpenAI"를 제공하는데, Hacktron은 이 OAuth 기반 인증 흐름의 설정 오류 탓에 포럼 장악이 그 SSO로 로그인한 계정 장악으로 이어졌다고 설명했다. 연구팀은 이 권한 상승이 Discourse에만 해당하는 문제가 아니라는 점을 강조했다. 같은 SSO 뒤에 놓인 자사·외부 서비스라면 어디든 같은 경로를 열어줬을 것이라는 뜻이다.
연구팀은 소스 코드를 들여다보지 않고도 접근 범위를 입증하기 위해, 탈취한 직원 계정의 Codex에 openai/openai 저장소로 무해한 풀 리퀘스트를 열도록 지시한 뒤 테스트를 중단했다. Codex는 OpenAI GitHub 조직에 연결된 AI 코딩 어시스턴트다. 노출 범위는 계정마다 달랐다. 사용자가 어떤 커넥터를 켜뒀는지에 따라 갈렸기 때문이다.
Opus 4.8과 Opus 5 사이에서 달라진 것
보안팀이 다시 읽어볼 대목은 익스플로잇 개발 일지다. Hacktron에 따르면 Anthropic의 Opus 4.8은 패키지화된 libheif에 보안 수정이 백포트되지 않았다는 사실까지는 짚어냈지만, 주소 공간 배치 무작위화(ASLR)가 켜지자 익스플로잇을 안정적으로 만들지 못하고 번번이 실패했다. Anthropic은 7월 24일 저녁 Opus 5를 내놨다. 새 세션은 약 3시간 만에 동작하는 ARM64 익스플로잇을 만들어냈고, Discourse가 쓰는 x86-64·jemalloc 환경으로의 이식이 뒤따랐다.
이미지 업로드를 통한 로컬 코드 실행은 7월 25일 오전 6시에 확인됐고, 오전 10시에는 에이전트가 연구팀 자체 Discourse Cloud 인스턴스를 상대로 원격 재현에 성공했다. 이 사건의 배경이 된 대규모 캠페인 — Hacktron은 이를 HEIF Heist라 부르며 Slack, Meta, Zoom, Shopify, GitHub Enterprise를 표적에 올렸다고 밝혔다 — 은 연구원 3명이 두 달간 진행했고, 모델 토큰 비용은 3,000달러가 채 들지 않았다.
모델 성능에 대한 주장은 출처를 감안해 따져볼 필요가 있다. Hacktron은 AI 기반 공격 보안을 파는 회사여서 이 결론에 이해관계가 걸려 있다. 다만 검증 가능한 기록이 그 무게를 덜어준다. 날짜, 보안 권고문, 패치된 패키지 버전이 모두 대조 가능하고, Discourse는 연구팀의 말을 그대로 받아들이는 대신 문제의 디코더 버그를 직접 확인했다.
이미지 라이브러리 하나가 그토록 많은 소프트웨어 밑에 깔린 이유
메모리 안전성 버그를 고친 업스트림 커밋에는 보안 수정이라는 표시도, CVE도 붙지 않았다. 그 탓에 Debian 12와 13은 코드가 고쳐진 뒤로도 한참 동안 취약한 패키지를 계속 배포했고, Debian 13용 업데이트는 2026년 8월 8일에야 나왔다. Discourse는 통보를 받자 주말에 답신하고 이튿날 월요일 수정본을 배포했다. 심층 방어 차원에서 ImageMagick 주변에 샌드박스를 추가했고, 권고문 GHSA-vhm9-85gw-x335도 공개했다. VentureBeat 보도에 따르면 이 권고문의 CVSS 점수는 8.8이다.
포상금 규모도 시사하는 바가 있다. OpenAI는 6,500달러로 정산하면서, Discourse가 호스팅하는 포럼 테스트는 자사 프로그램 범위 밖이라고 밝혔다. 결국 포상은 연결 고리 전체가 아니라 인증 결함 하나를 대상으로 매겨진 셈이다. 바운티 범위는 기업이 소유한 자산을 기준으로 그어지지만, 공격 경로는 그 선을 따르지 않는다. 아무도 운영 인프라로 분류하지 않는 커뮤니티 포럼이야말로 운영 인증 시스템의 신뢰를 얻고 마는 전형적인 자산이다.
AI 에이전트를 운영하는 팀이 새겨야 할 것
이 양상은 AI 침투 테스터가 3년 묵은 관리자 토큰을 25분 만에 찾아낸 사례와 겹친다. 새로운 것은 취약점의 종류가 아니라 전문성의 가격이다. Hacktron은 복잡성에 기댄 보안이 무너지고 있다고 정리한다. 알려진 메모리 손상 버그를 실제 동작하는 익스플로잇으로 바꾸는 일은 한때 희소한 기술과 몇 주의 공을 요구했지만, 이제는 사실상 연산 자원을 사는 문제에 가까워졌다.
대응책은 화려하지 않다. libheif와 libde265를 최신 보안 릴리스로 올리고, 필요 없는 곳에서는 신뢰할 수 없는 HEIF·AVIF 디코딩을 꺼두며, 이미지 처리를 일회성 샌드박스 안에 가두고, AI 에이전트의 OAuth 커넥터를 편의 기능이 아니라 특권 자격증명으로 다루는 것이다. 한 가지 사실은 따로 짚어둘 만하다. Hacktron이 시험한 모든 기업 가운데 활동을 알아챈 곳은 Shopify뿐이었다고 회사는 밝혔다.
자주 묻는 질문
OpenAI와 Discourse의 취약점은 아직 악용될 수 있나
아니다. Discourse는 7월 말 이미지 처리 결함을 수정하고 보안 권고문을 냈고, OpenAI는 Bugcrowd 신고 약 14시간 만에 SSO 문제 수정을 확인했다. 다만 Discourse를 직접 호스팅하는 운영자는 패치된 libheif를 반영하려면 컨테이너를 다시 빌드해야 한다.
연구팀이 OpenAI 소스 코드를 열람했나
Hacktron은 그러지 않았다고 밝혔다. 탈취한 직원 계정의 Codex 접근 권한으로 무해한 풀 리퀘스트를 열어 접근 범위만 증명한 뒤 모든 추가 테스트를 중단했다. 월스트리트저널은 OpenAI 직원 계정 접근 사실을 별도로 보도했다.
Claude가 스스로 OpenAI를 해킹했나
아니다. Hacktron은 전 과정에 숙련된 사람의 지휘가 있었고, 모델은 익스플로잇 개발과 권한 상승, 표적별 적응을 맡았다고 설명한다. 연구팀은 모델이 연구팀 소유로 인식하지 못한 시스템을 겨냥한 익스플로잇 제작은 거부했다는 점도 덧붙였다.
