Claude Opus 5, 연쇄 취약점으로 OpenAI 직원 계정 탈취에 활용된 보안 연구 사례

보안 기업 Hacktron의 연구원 3명이 Anthropic의 Claude Opus 5를 사용해 두 가지 취약점을 연결하는 공격 사슬을 구성, OpenAI 직원 여러 명의 ChatGPT 및 Codex 계정을 탈취하고 OpenAI 내부 코드 저장소에 접근했다.

공격 사슬은 OpenAI의 공개 헬프 포럼을 운영하는 소프트웨어의 버그에서 시작해 OpenAI 자체 로그인 시스템의 취약점으로 이어졌다.

이는 실제 공격이 아닌 보안 연구였다. 연구팀은 취약점을 OpenAI에 신고했고, 무해한 pull request로 접근을 증명한 뒤 즉시 중단했다. 최초 접근부터 내부 접근 완료까지 72시간도 걸리지 않았다.

Hacktron에 따르면 OpenAI는 신고 후 약 14시간 만에 수정을 완료했으며, 9월 1일에 팀에게 6,500달러의 버그 바운티를 지급했다. OpenAI는 "이번 보상은 OpenAI 측 취약점 발견에 대한 것이며, 포럼 소프트웨어인 Discourse에 대한 행위는 해당되지 않는다"고 밝혔다. 포럼 소프트웨어 자체를 테스트하는 것은 버그 바운티 프로그램 범위 밖이었다.

OpenAI는 로그인 취약점의 구체적 내용을 공개하지 않았으며, 수정 완료와 보상 지급으로 취약점 발견을 공식 인정하는 것에 갈음했다.

AI 보조 보안 연구 기업을 표방하는 Hacktron은 행동의 범위를 신중하게 제한했다. 한 직원의 Codex에서 OpenAI의 GitHub 코드 링크를 열었을 때 내부 저장소에 pull request 하나만 생성했을 뿐, 소스 코드 열람, 병합·배포, 고객 데이터 접근은 일절 하지 않았다.

이 공격 사슬이 실제로 닿을 수 있었던 범위는 훨씬 넓었다. 직원들이 ChatGPT와 Codex에 다른 서비스를 연결해 두었기 때문에, 이론상 GitHub·Slack·이메일 같은 도구로도 접근이 확장될 수 있었다. 그러나 연구팀은 해당 경로를 실제로 사용하지 않았다.

포럼 취약점이 직원 계정까지 이어진 이유

공개 포럼의 버그가 직원 계정까지 연결된 이유는 포럼 소프트웨어가 아니라 OpenAI의 로그인 시스템에 있었다. OpenAI 포럼은 "Sign in with OpenAI" 옵션을 제공하는데, 이는 직원들이 다른 내부 서비스에서도 사용하는 것과 동일한 단일 로그인(SSO, Single Sign-On)이다.

연구팀이 포럼 서버를 장악하자, 공유된 로그인 체계 덕분에 OpenAI 직원이기도 한 포럼 회원들의 ChatGPT 및 Codex 계정도 탈취할 수 있었다. 피해자는 아무것도 하지 않아도 됐다.

Hacktron은 이것이 포럼 소프트웨어의 결함이 아닌 OpenAI의 인증 체계 문제라고 밝혔다. 동일한 SSO를 사용하는 1차·3차 서비스라면 어떤 것이든 같은 접근 경로가 됐을 것이다.

침투 경로는 이미지 버그였다. 포럼은 Discourse 위에서 운영되는데, Discourse는 업로드된 HEIC 및 HEIF 이미지를 ImageMagick이라는 도구로 넘기고, ImageMagick은 이를 읽기 위해 libheif 라이브러리를 사용한다. libheif의 결함으로 인해 특수하게 조작된 이미지가 포럼 서버의 메모리를 손상시킬 수 있었다.

Discourse의 보안 권고문은 이 결함을 원격 코드 실행(RCE)으로 평가하고, 위험도를 10점 만점 중 8.8점으로 매기며 CVE-2026-32882로 추적하고 있다. 그러나 공식 취약점 기록 자체는 범위가 더 좁다. libheif 자체 보안 권고문과 국가 취약점 데이터베이스에서 CVE-2026-32882는 직접적인 코드 실행 취약점이 아닌, 소프트웨어를 충돌시키거나 인근 메모리를 유출할 수 있는 범위를 벗어난 읽기(out-of-bounds read)로 분류된다.

유출된 메모리는 ASLR(주소 공간 배치 난수화)이라는 일반적인 보호 기법을 무력화하는 데 활용된다. 연구팀은 AI의 도움으로 libheif의 메모리 버그들을 조합해 단순 충돌을 포럼 서버에서의 실제 코드 실행으로 전환했다고 밝혔다. 업스트림에서 이 취약점은 2026년 5월 libheif 1.22.0에서 수정됐다.

연구팀이 테스트를 진행한 7월 당시, 해당 수정은 이미 몇 달 전에 나온 상태였다. 그러나 Debian 12 리눅스 배포판을 기반으로 구축된 포럼 서버 이미지에는 여전히 패치되지 않은 구버전 libheif 1.19.7이 탑재되어 있었다. 수정 사항과 CVE는 이미 공개된 상태였지만 Debian은 아직 포럼이 사용하는 패키지 버전에 이를 반영하지 않은 것이었다.

자체 Discourse 서버를 운영한다면 이 부분이 직접적인 영향을 미친다. 웹 인터페이스 업데이트만으로는 구버전 라이브러리가 교체되지 않을 수 있으므로, 패치된 libheif를 적용하려면 최신 이미지로 재빌드해야 한다. Discourse 호스팅 서비스를 이용하는 사이트는 이미 패치되어 있으며, 수정된 자체 호스팅 릴리스는 2026.7.0, 2026.6.1, 2026.5.2, 2026.1.6이다.

연구팀의 AI 활용 방식

연구팀은 가장 어려운 부분을 AI에 맡겼다. 처음에는 Claude Opus 4.8을 사용했으나, ASLR이 활성화된 환경에서 여러 세션에 걸쳐 작동하는 익스플로잇을 만드는 데 어려움을 겪었다.

Anthropic이 7월 24일 저녁 차기 모델인 Claude Opus 5를 출시했고, 새 세션에서 수 시간 만에 작동하는 익스플로잇을 만들어 냈다.

Opus 5에는 실제 공격 대상에 대한 익스플로잇 코드 작성을 차단하기 위한 안전장치가 내장되어 있었다. 연구팀은 모델이 자체 테스트 서버를 CTF(Capture the Flag) 연습 대상으로 인식하도록 설정하고 자동화 루프로 실행함으로써 이를 우회했다. 그럼에도 연구팀은 이 작업이 완전 자동화된 것은 아니었다고 강조한다. 숙련된 인간의 지휘가 여전히 중요한 역할을 했으며, 아무도 개입하지 않은 자동화된 해킹이 아니었다는 것이다.

이 사례는 올해 연구자들과 AI 기업들이 언급해 온 내용과 맞닿아 있다. 고성능 AI 모델이 고난도 공격 작업에 과거에는 필요했던 시간과 기술 수준을 크게 단축시키고 있다는 것이다. Anthropic은 이미 범죄 집단과 국가 지원 조직이 Claude 모델을 단순한 질문 응답이 아닌 실제 침해 활동에 활용하고 있다고 보고한 바 있다.

OpenAI는 Hacktron이 HEIF Heist라고 명명한 광범위한 프로젝트의 일부 표적이었다. 연구팀에 따르면 약 두 달에 걸쳐 다른 대형 기업들의 소프트웨어에서도 동일한 계열의 이미지 디코딩 취약점을 발견했으며, AI 사용에 든 총 비용은 3,000달러 미만이었다. 이 캠페인은 Slack, Meta 제품군, GitHub Enterprise, Next.js 등 웹 프레임워크에서 보고된 버그들과 연결된다.

이 광범위한 주장들의 근거는 불균등하다. Next.js 취약점은 Vercel의 자체 보안 권고문으로 확인됐고, libheif 유지 관리자들은 Meta 관련 버그에 대한 코드 실행 익스플로잇이 실제로 작동함을 확인했다. 그러나 다수의 애플리케이션에 걸친 코드 실행이 가능하다는 광범위한 주장은 독립적으로 확인되지 않았으며, The Hacker News도 지난 8월 Next.js 취약점을 처음 보도할 때 이 한계를 언급했다.

광범위한 캠페인에서는 대상에 대해 사전 정보가 전혀 없는 경우를 위해 OpenAI의 자체 모델인 GPT-5.6 Sol을 사용했다. 연구팀에 따르면 Shopify만이 해당 활동을 탐지한 것으로 보이며, 수천 건의 테스트 업로드로 이미지 프로세서가 반복적으로 충돌했음에도 다른 기업들은 알아채지 못했다.

The Hacker News는 포럼 코드 실행이 달성된 방법 및 계정 접근 범위에 관해 Hacktron에 추가 질문을 보낸 상태다.

대응 방안

더 큰 교훈은 Discourse를 넘어선다. 서비스가 사용자 이미지를 수신하고 libheif를 통해 HEIC, HEIF, AVIF 파일을 읽는다면, 구버전 빌드는 취약할 수 있다.

그리고 낮은 신뢰 수준의 공개 서비스가 내부 도구와 SSO를 공유한다면, 해당 서비스에 대한 침해는 동일한 로그인이 닿는 모든 곳에 대한 침해가 된다.

• libheif를 최신 보안 릴리스(2026년 9월 초 기준 1.23.4)나 배포판의 패치된 빌드로 업데이트할 것.
• 신뢰할 수 없는 HEIF 및 AVIF 이미지 디코딩이 필요하지 않은 경우 비활성화하거나, 이미지 처리를 격리된 샌드박스 환경에서 실행할 것.
• SSO가 신뢰하는 서비스의 범위를 제한하고, 기존 세션을 신뢰하는 대신 민감한 작업 전에는 반드시 재인증을 요구할 것.

OpenAI 취약점이 실제 세계에서 누군가에게 악용된 흔적은 없다. 2026년 9월 중순 현재, 이 취약점은 실제 악용이 확인된 취약점을 기록하는 미국 정부 목록에 등재되어 있지 않다. 물론 그 목록은 어느 쪽의 증명도 되지 않는다.

현재까지 공개된 보고서들이 답하지 않는 것이 있다. 이미 패치를 완료한 조직이 그 이전에 접근이 있었는지 여부도 점검해야 하는가 하는 문제다. 이 점에 대해 출처들은 침묵하고 있다.