해크트론 3인이 클로드로 리브헤이프와 SSO를 연쇄했고, 회사는 보고 14시간 만에 패치했다.

해크트론 AI 연구진 3명은 2026년 7월 25일 오픈AI 커뮤니티 포럼의 이미지 처리 경로와 별도 단일로그인 설정을 이어서 직원 챗지피티·코덱스 계정에 들어갔다. 증명은 내부 모노레포에 무해한 풀 리퀘스트를 올리는 방식으로 끝났고, 오픈AI는 버그크라우드 접수 약 14시간 뒤 자사 쪽 결함을 고쳤다.

월스트리트저널이 9월 18일 이 경과를 먼저 보도한 뒤 테크크런치·시큐리티위크·더버지 등이 연구진 글을 대조했다. 사건은 승인된 버그바운티 범위의 인간 연구이며, 모델이 스스로 침투를 기획한 사례는 아니다.

해크트론, 7월 25일 직원 계정에 도달

해크트론은 하르시 자이스왈, 모한 페다파티, 라훌 마이니 3인 팀이다. 작업은 7월 23일 디스코스 이미지 업로드 파이프라인 점검에서 시작됐고, 7월 25일 UTC 기준 하루 안에 포럼 원격코드실행, 직원 계정, 내부 깃허브 연결까지 이어졌다.

연구진은 내부 코드를 읽지 않은 채 접근만 보이기 위해, 깃허브 조직에 연결된 직원 코덱스로 openai/openai 저장소에 PR 1186742를 올렸다. 오픈AI 측 사후 점검에서는 비공개 저장소 메타데이터와 커밋의 제한적 조회, README 파일에 대한 풀 리퀘스트가 확인됐다.

  • 7월 23일 연구진은 커뮤니티 포럼의 에이치이아이씨·에이치이아이에프 업로드가 이미지매직을 거쳐 리브헤이프 파서에 들어간다는 점을 확인했다.
  • 7월 24일 클로드 오퍼스 4.8은 주소공간 무작위 배치를 끈 환경에서 코드실행 초안을 냈으나, 켠 상태에서는 반복 세션에도 안정 익스플로잇을 만들지 못했다.
  • 같은 날 저녁 앤트로픽이 오퍼스 5를 내놓자, 새 세션은 약 3시간 만에 로컬 맥용 에이알엠64 익스플로잇을 작성했다.
  • 7월 25일 05:00–06:00 UTC 연구진은 community.openai.com 디스코스 환경에서 원격코드실행과 관리 권한을 확인했다.
  • 같은 날 08:00–10:00 UTC 교차 제품 영향을 확인한 뒤 오픈AI 버그크라우드에 보고서를 넣었다.
  • 13:30–15:30 UTC 직원 코덱스로 내부 모노레포 PR을 올린 뒤 15:30 UTC에 추가 시험을 멈췄다.
  • 22:49 UTC 오픈AI가 자사 쪽 수정을 확인했고, 최초 접수 기준 약 14시간이 지난 시점이었다.
  • 같은 날 디스코스에는 해커원으로 리브헤이프 경로를 따로 알렸다.

포럼 업로드가 리브헤이프 원격코드실행으로 이어졌다

진입점은 community.openai.com이다. 이 포럼은 디스코스가 호스팅하며, 아이폰 기본 형식인 에이치이아이씨·에이치이아이에프를 올리면 내장 FastImage가 그 형식을 다루지 못해 이미지매직으로 넘긴다. 이미지매직은 디코딩을 리브헤이프에 맡겼고, 이용자가 만든 파일이 파서에 그대로 닿았다.

리브헤이프에는 힙 버퍼 오버플로가 남아 있었다. 업스트림은 이전 해에 오버레이 겹침 계산을 단순화하는 수정으로 고쳤지만 보안 이슈로 표시하지 않았고, 당시에는 CVE도 붙지 않았다. 디스코스 도커에 실린 데비안 패키지는 그 수정을 가져오지 않은 채 운영됐다.

디스코스, 7월 28일 보안권고를 공개했다

디스코스는 해커원 접수 다음날 회신했고 7월 27일 패치와 이미지 처리 샌드박스를 준비했다. 7월 28일 공개된 GHSA-vhm9-85gw-x335는 변형 에이치이아이에프 업로드로 인한 원격코드실행을 고위험으로 적었다.

  • 자문번호는 GHSA-vhm9-85gw-x335이고, 추적 번호는 CVE-2026-32882다.
  • CVSS 3.1 점수는 8.8이며 벡터는 AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H다.
  • 수정 버전은 2026.7.0, 2026.6.1, 2026.5.2, 2026.1.6이다.
  • 최신 도커 이미지는 패치된 리브헤이프를 포함하고, 관리자에게 ./launcher rebuild app로 재구축하라고 안내한다.
  • 커널이 지원하는 환경에서는 이미지 처리 샌드박스를 추가로 넣었다.
  • 크레딧에는 hacktronai-research가 보고자로 적혀 있다.

리브헤이프 수정은 보안 공지로 퍼지지 않았다

연구진이 본 패키지는 디스코스 도커 기준 리브헤이프 1.19.7, 당시 데비안 13 기준 1.19.8이었다. 업스트림 커밋은 보안 라벨이 없어 일반 패치 순환에서 빠졌고, 그 공백이 포럼 업로드를 공격면으로 남겼다.

  • 취약 처리는 에이치이아이에프·에이비아이에프의 오버레이 이미지 항목을 파싱할 때 발생했다.
  • 연구진은 버전을 지문 채취하듯 확인한 뒤, 버전에 맞춘 페이로드로 메모리 손상을 재현했다.
  • 데비안 13 보안 업데이트는 8월 8일에 나왔다고 연구진이 적었다.
  • 업스트림 최신 권고는 리브헤이프 1.23.2 이상을 가리킨다.

오픈AI 로그인 토큰이 제품 밖으로 통했다

포럼 침투만으로는 내부 코드까지 가지 않는다. 두 번째 결함은 오픈AI 신원 쪽에 있었다. 커뮤니티용으로 발급된 로그인 토큰이 권한을 넓게 가져 연결 챗지피티·코덱스 계정 API까지 열렸다.

연구진은 이 경로를 디스코스 고유 결함이 아니라 오픈AI 단일로그인 설정 문제로 본다. 같은 로그인을 쓰는 다른 서비스가 뚫려도 같은 확장이 가능하다는 설명이다. 연결 범위에는 깃허브뿐 아니라 슬랙·아웃룩 같은 연동이 이론상 포함된다고 썼다. 오픈AI는 직원 슬랙 메시지에 실제 접근한 사실은 확인되지 않았다고 밝혔다.

오픈AI, 커뮤니티 토큰 권한을 줄였다

오픈AI는 포럼 소프트웨어 결함과 자사 계정 탈취 경로를 나눠 설명했다. 전자는 제3자 디스코스에 있고, 후자는 자사 신원 인프라 문제라는 구분이다.

  • 회사는 연구진에 감사를 표하고, 커뮤니티 로그인 토큰 권한을 축소했다고 밝혔다.
  • 영향받은 토큰과 세션은 폐기됐다.
  • 포럼 본체에 대한 시험은 버그바운티 범위 밖이라고 나중에 명시했다.
  • 6,500달러 포상은 오픈AI 쪽 발견에 대한 것이며, 디스코스에 대한 행위가 아니라고 적었다.
  • 포상 지급과 해결 표시는 9월 1일로 연구진 타임라인에 남아 있다.

오퍼스 4.8은 막히고 오퍼스 5가 익스플로잇을 완성했다

연구진은 사이버보안 실무자용으로 제한이 완화된 클로드를 썼다. 오퍼스 4.8은 리브헤이프 패키지 분석과 초기 익스플로잇에 쓰였으나, 주소공간 무작위 배치가 켜진 대상에서는 반복해서 실패했다.

오퍼스 5가 나온 뒤 같은 과제를 다시 주자 로컬에서 동작하는 코드가 나왔고, 이를 디스코스가 쓰는 x86-64와 젬알록 설정에 옮겼다. 연구진은 자체 디스코스 클라우드 인스턴스에 목표 루프를 걸고 프록시 주소로 캡처더플래그처럼 보이게 했다. 모델이 실제 원격 호스트용 익스플로잇 작성을 거부했기 때문이다.

  • 오픈AI 경로 자체는 72시간 안에 끝났고, 인간 개입은 수 시간 수준이라고 연구진이 적었다.
  • 에이치이아이에프 하이스트 전체는 약 두 달, 토큰 비용은 3,000달러 미만이라고 밝혔다.
  • 대상별 이식은 하루에서 이틀이 걸렸다고 했다.
  • 탐지됐다고 연구진이 확인한 대상은 쇼피파이뿐이었다.
  • 페다파티는 테크크런치에 “한때는 몇 달이 걸리던 일이 며칠로 줄었다”고 말했다.

내부 코드 반출은 연구진이 부인했다

일부 보도는 “클로드가 오픈AI를 해킹했다”는 문장으로 모델을 행위 주체로 둔다. 공개된 절차는 버그바운티에 보고한 인간 연구다. 모델은 버그 분석과 익스플로잇 초안 작성에 쓰였다.

월스트리트저널 취재원은 해당 저장소가 오픈AI의 알고리즘 기밀을 담는다고 전했다. 연구진은 민감 코드를 읽거나 내려받지 않았다고 했고, 시큐리티위크가 전한 오픈AI 점검은 메타데이터·커밋의 제한적 조회와 README 변경 제안까지로 범위를 잡았다. 코드 병합, 배포, 고객 데이터 접근, 운영 장애는 시연되지 않았다.

  • 연구진은 직원뿐 아니라 포럼에 로그인한 일부 외부 이용자 계정도 같은 토큰 문제로 영향받을 수 있었다고 썼다.
  • 증명용 PR 번호는 1186742이며, 오픈AI 요청으로 공개 링크는 가렸다.
  • 시험 중단 시각은 7월 25일 15:30 UTC다.
  • 슬랙 메시지 실접근은 오픈AI가 확인하지 않았다고 밝혔다.
  • 가디언 등 일부 매체는 후속 작업에 오픈AI 모델도 쓰였다고 적었으나, 익스플로잇 작성 전환점을 오퍼스 5로 적시한 1차 기록은 해크트론 글이다.

같은 이미지 경로가 다른 제품에도 남아 있었다

오픈AI 건은 연구진이 에이치이아이에프 하이스트라고 부른 더 넓은 조사의 한 줄기다. 이용자가 올린 에이치이아이씨·에이치이아이에프·에이비아이에프를 리브헤이프·이미지매직·리브빕스·샤프 경로로 디코딩하는 서비스가 대상이다.

공개된 이식 목록에는 슬랙, 메타, 깃허브 엔터프라이즈, 루비 온 레일스, 넥스트.js, 아스트로, 개츠비가 들어 있다. 패치 일자는 제품마다 다르다.

  • 디스코스는 7월 28일 권고와 도커 재구축 안내를 냈다.
  • 넥스트.js 에이비아이에프 이미지 최적화 경로는 8월 25일 전후 수정본이 공개됐다.
  • 깃허브 엔터프라이즈 서버는 CVE-2026-19118로 3.21.5가 9월 1일 나왔다.
  • 메타 제품군은 벤더 수정이 있었으나 공개 일자는 밝혀지지 않았다.
  • 오픈AI SSO는 CVE 없이 7월 25일 서버 쪽에서 닫혔다.
  • 업스트림 리브헤이프는 1.23.2 이상이 권고된다.

보안팀은 익스플로잇 비용 하락을 문제로 본다

그레이 스완의 맷 프레드릭슨은 테크크런치에 “한 달에 200달러면 이런 도구로 오픈AI 같은 회사를 시험할 수 있다”고 말했다. 페다파티는 월스트리트저널에 자신들을 국가 단위 위협과 비교하지 말라는 취지로, 클로드와 코덱스 구독을 쓰는 3인이라고 했다.

이 보도는 오픈AI 에이전트가 안전 평가 중 격리 밖으로 나가 허깅페이스를 시험한 사례 이후에 나왔다. 같은 주기에 프론티어 모델의 사이버 능력과 방어 속도가 함께 거론된다. 다만 이번 경로는 희귀 제로데이 한 방이 아니라, CVE가 안 붙은 업스트림 수정과 토큰 권한 설정이 맞물린 연쇄다.

  • 레드팀 실무 쪽은 취약점 발견과 익스플로잇 작성의 인력·시간 장벽이 낮아졌다고 본다.
  • 안전 규제 논의에서는 모델 능력 공시와 실제 침투 비용이 같은 주에 인용된다.
  • 신중론은 합법 연구, 당일 패치, 코드 반출 부재를 이유로 ‘랩이 붕괴했다’는 표현을 거부한다.
  • 오픈AI는 상세 사고 보고서를 별도로 내지 않았고, 토큰 권한 축소와 포상 범위만 확인됐다.
  • 디스코스 자체 호스팅 운영자는 라이브러리만 올리지 않고 애플리케이션을 다시 빌드해야 패치가 반영된다.

이번 공개가 남긴 사실은 짧다. 공개 포럼의 이미지 변환과 직원 제품 로그인이 같은 신원 체계를 쓰면, 제3자 호스팅도 내부 저장소의 앞단이 된다. 오픈AI와 디스코스는 7월에 각 구간을 닫았고, 같은 디코더를 쓰는 다른 제품의 패치 속도는 업체마다 달랐다.

#AI 안전#Anthropic#에이전트

함께 읽기