세 명이 클로드로 오픈AI 뚫었다… 버그 바운티 $6,500의 교훈

월 200달러 구독료만 내면 누구나 쓸 수 있는 AI 모델이, 세계 최고 AI 기업의 방어를 뚫는 열쇠가 됐다. 3인 보안 스타트업 해크트론(Hacktron)이 앤스로픽의 클로드 오퍼스 5를 이용해 오픈AI의 커뮤니티 포럼에서 직원 깃허브 저장소까지 침투한 경로를 월스트리트저널(WSJ)과 테크크런치가 보도했다.

포럼 이미지 업로드 하나가 연 문

시작은 사소해 보이는 이미지 업로드였다. 오픈AI 커뮤니티 포럼은 디스코스(Discourse)라는 오픈소스 소프트웨어를 쓴다. 아이폰 기본 포맷인 HEIF/HEIC 파일을 올리면, 디스코스는 이미지매직(ImageMagick)이라는 오래된 도구로 변환을 시도한다. 이미지매직이 애플 포맷을 못 읽으면 리브히프(libheif)라는 라이브러리에 넘긴다.

바로 이 리브히프 안에 메모리 버그가 숨어 있었다. 특별히 조작된 이미지를 넣으면 라이브러리가 이미지 위치를 잘못 계산해 서버 제어권을 넘겨주는 식이다. 이 버그는 이미 수개월 전 리브히프 개발자들이 고쳐놨다. 하지만 CVE(공통 취약점 식별자) 번호가 부여되지 않아, 디스코스 쪽에서 패치 적용을 놓친 것으로 보인다.

오퍼스 4.8은 실패, 오퍼스 5는 성공

해크트론은 처음 클로드 오퍼스 4.8(보안 연구자용 특별 버전)을 썼다. 여러 세션을 거쳤지만 작동하는 익스플로잇(공격 코드)을 만들지 못했다. 그런데 앤스로픽이 오퍼스 5를 내놓은 날 저녁, 같은 문제를 던지자 몇 시간 만에 뚫렸다.

해크트론 블로그에 따르면 "오퍼스 4.8은 여러 세션 동안 작동하는 익스플로잇을 만들지 못했으나, 오퍼스 5 출시 몇 시간 만에 같은 문제로 성공했다." 모델 한 세대 교체가 공격 완성도를 가른 셈이다.

직원 계정→깃허브 모노레포→풀 리퀘스트

디스코스 서버에 발을 들인 뒤, 연구자들은 또 다른 결함을 찾아 오픈AI 직원들의 챗GPT와 코덱스(Codex) 계정을 장악했다. 그중 한 직원의 코덱스가 오픈AI 깃허브 조직과 연결돼 있었다. **모노레포(Monorepo)**라는, 오픈AI 알고리즘 핵심 코드가 모인 저장소에 접근 가능한 상태였다.

연구자들은 내부 코드를 직접 보지는 않았다. 대신 직원 계정으로 풀 리퀘스트( Pull Request)를 보내 "우리가 들어왔음"을 증명하는 선에서 멈췄다. 7월 25일 발견, 27일 디스코스 패치 완료. 오픈AI는 6,500달러 포상금을 지급했다.

"우린 중국 해커만큼 강하지 않다"

해크트론 CTO 모한 페다파티는 WSJ에 "우리가 중국 위협 행위자만큼 강하다고 생각하지 않는다. 우리는 클로드와 코덱스 구독만 가진 세 명일 뿐"이라고 말했다. 토큰 비용 3,000달러 미만, 이틀 만에 슬랙, 메타, 깃허브 엔터프라이즈, 쇼피파이 등 여러 기업 버전으로도 적용 가능했고, 그중 쇼피파이만 탐지를 했다.

이 대목이 가장 무겁다. 국가급 공격 조직이 같은 도구를 쓰면 어떤 일이 벌어질지 가늠하기 어렵지 않다.

이미 패치된 버그가 왜 방치됐나

자료를 대조해 보면 두 가지 사실이 겹친다. 리브히프 버그는 이미 수정됐으나 CVE 번호가 없어 취약점 데이터베이스에 올라오지 않았다. 디스코스 같은 하위 프로젝트는 상위 라이브러리의 '조용한 패치'를 자동으로 따라가지 못한다. 공급망 보안의 사각지대가 여기서 드러났다.

반면 오픈AI 측은 "해크트론이 발견한 이슈를 해결했다"고만 밝혔다. 어떤 조치를 언제 취했는지, 직원 계정 탈취 후 추가 피해 조사가 있었는지는 공개하지 않았다. 본지가 7일 전 다룬 이란 해커가 클로드로 미 군함 표적 분석… Anthropic "차단했다"지만 사후 대응 그쳐 기사에서도 앤스로픽은 '사후 차단'에 그쳤다. 공격 도구로 쓰인 모델을 만든 기업이 사후 대응만 반복하는 패턴이 반복된다.

오픈웨이트 모델도 따라붙는다

클로드 같은 비공개 모델만 문제가 아니다. AI 안전 비영리단체 세이퍼AI(SaferAI)는 중국 Z.ai의 GLM-5.2가 오픈AI GPT-5.5와 클로드 오퍼스 4.7을 불과 몇 개월 차이로 쫓고 있다고 발표했다. 닫힌 모델에 수출 제한이 걸리면(미토스 5가 그랬듯), 열린 모델이 그 자리를 채운다. 공격 도구로서 AI 접근성은 갈수록 낮아지고 있다.

쉽게 풀어보면

해크트론은 3인 보안 스타트업입니다. 이들이 월 200달러짜리 클로드 구독으로 오픈AI를 뚫었습니다. 비유하자면 이렇습니다.

아파트 현관(디스코스 포럼)에 택배 상자(HEIF 이미지)를 두고 갔습니다. 경비원(이미지매직)이 상자를 열려다 잘 안 돼서 옆 창고 직원(리브히프)에게 넘겼습니다. 창고 직원은 몇 달 전 실수를 고쳐놨지만, '공식 실수 인정서(CVE)'가 없어서 경비원이 그 사실을 몰랐습니다. 그래서 같은 실수를 또 저질렀고, 도둑(해커)이 창고 열쇠를 얻어냈습니다.

처음엔 열쇠 깎는 도구(오퍼스 4.8)가 잘 안 들었습니다. 그런데 새 도구(오퍼스 5)가 나오자 몇 시간 만에 열쇠가 완성됐습니다. 도둑은 아파트 주민(오픈AI 직원) 열쇠꾸러미에서 마스터키(깃허브 모노레포 접근권한)를 찾아냈습니다. 방 안(소스코드)엔 안 들어가고 "들어갈 수 있음"만 증명하고 나왔습니다.

이 아파트는 세계 최고 보안업체(오픈AI)가 사는 곳입니다. 그런데 열쇠 깎는 도구는 누구나 월 200달러면 빌려 씁니다.

나에게 미치는 영향

당장 확인해 볼 것: 내가 쓰는 서비스들 중 디스코스 기반 커뮤니티가 있는지, HEIF 업로드를 허용하는지. 개발자라면 프로젝트 의존성 트리에서 libheif 버전을 확인하세요. CVE 없는 패치도 놓치면 구멍입니다.

일반 사용자라면: 같은 비밀번호를 여러 곳에 쓰지 마세요. 직원 계정 하나가 털려 내부망까지 간 사례입니다. 2단계 인증(2FA)을 켜둔 계정도 세션 하이재킹엔 무력할 수 있습니다.

기업 보안 담당자라면: 공급망 취약점 스캔에 'CVE 없는 패치'도 포함시키세요. 또, AI 코딩 도구(코덱스, 클로드 코드 등)가 사내 저장소에 쓰기 권한을 가진 토큰으로 연결돼 있는지 점검하세요. 해크트론은 "코덱스 구독"만으로 깃허브 조직 접근권을 얻었습니다.

남은 쟁점

• 오픈AI가 직원 계정 탈취 후 내부 코드 열람 여부를 어떻게 확인했는지 미공개
• 앤스로픽이 오퍼스 5의 사이버 공격 능력을 사전에 어느 정도 인지했는지
• 국내 주요 기업·공공기관이 디스코스·이미지매직·리브히프 조합을 쓰는지 여부

공격 비용이 '월 200달러 + 이틀'로 내려왔다. 방어 쪽 예산과 인력은 그대로인데, 공격 도구만 매월 좋아진다. 이 비대칭이 이번 사건의 본질이다.