연구자들, 버그 바운티 연쇄에서 Claude로 OpenAI 내부 시스템 해킹

2026년 7월 25일, 보안 회사 Hacktron AI의 3인 팀은 Anthropic의 Claude Opus 5를 이용해 두 가지 결함을 연쇄시켜 OpenAI 직원들이 소유한 ChatGPT 및 Codex 계정을 장악한 뒤, 그중 한 계정을 사용해 OpenAI 내부 소스 저장소에서 풀 리퀘스트를 열었습니다. 진입점은 로그인 페이지나 API 키가 아니라, 오픈소스 포럼 소프트웨어인 Discourse로 운영되는 OpenAI의 공개 도움말 포럼 community.openai.com에서의 이미지 업로드였습니다. 두 번째 결함은 포럼이 아니라 OpenAI 자체의 공유 싱글 사인온에 있었습니다. 소스 코드는 읽히지 않았고, 병합된 것도 없었으며, 고객 데이터도 건드려지지 않았고, 아카이브에는 현실 세계의 피해가 기록되지 않았습니다. 이는 공급업체에 보고된 보안 연구였으며, 공급업체에 대한 공격이 아니었습니다. 이 기록의 날짜는 TechCrunch가 이 발견을 보도한 날인 2026년 9월 18일입니다. 이 사건은 다음 아카이브의 다른 문서화된 항목들과 나란히 수록되어 있습니다: the Orca AI Incident Archive — 각 기록에는 자체 출처, 심각도, 신뢰도 등급 및 이의 제기 여부 플래그가 포함되어 있습니다.

이 사건을 단순한 화려한 버그 바운티 이야기 그 이상으로 만드는 두 가지가 있다. 첫째는 속도다. Hacktron은 포럼을 처음 살펴본 때부터 내부 저장소 접근 권한을 확보하기까지 전체 경로가 72시간 미만 걸렸으며, 처음 시작한 모델은 그 작업을 해낼 수 없었다고 말한다. 둘째는 헤드라인 수치가 감추고 있는 불일치다. 보도에서 언급한 CVE인 CVE-2026-32882는 범위를 벗어난 읽기로 기록되어 있으며, 이는 소프트웨어를 충돌시키거나 메모리를 유출하는 것이지 코드 실행 버그가 아니다. Discourse 자체 권고문은 그 결과를 원격 코드 실행으로 평가한다. 둘 다 사실이며, 그 사이의 간극이 바로 AI의 기여가 실제로 자리하는 지점이다.

Hacktron이 발견했다고 말하는 내용과 그 시점

Hacktron은 2026년 9월 13일 자사 사이트에 "Hacking OpenAI"라는 분석 보고서를 게재했다. TechCrunch에 따르면 The Wall Street Journal은 9월 17일 목요일 저녁에 이를 보도했고, TechCrunch는 9월 18일 금요일에 뒤이어 보도했다. 설명된 사건들은 대략 8주 전에 일어났으며, Hacktron 자체 타임라인은 이에 대해 정확히 밝히고 있다:

• 2026년 7월 23일 — 팀은 Discourse의 HEIF 업로드 경로를 ImageMagick을 거쳐 libheif까지 추적하여 힙 오버플로를 찾아낸다.

• 2026년 7월 24일 — Claude Opus 4.8이 표준 주소 무작위화 방어 기법인 ASLR이 비활성화된 상태에서 실제로 동작하는 코드 실행 익스플로잇을 만들어낸다.

• 2026년 7월 25일 06:00 UTC — 이후 모델을 사용해, 팀은 ASLR이 활성화된 상태에서 이미지 업로드를 통한 안정적인 로컬 코드 실행을 확인했습니다.

• 2026년 7월 25일 08:00–10:00 UTC — 팀이 Bugcrowd의 OpenAI 버그 바운티 프로그램을 통해 보고서를 제출합니다.

• 2026년 7월 25일 10:00 UTC — 이 익스플로잇은 팀 자체의 Discourse Cloud 인스턴스를 대상으로, 이어서 OpenAI의 포럼을 대상으로 작동합니다.

• 2026년 7월 25일 13:30–15:30 UTC — 팀은 OpenAI 직원의 Codex 계정을 사용해 OpenAI 내부 모노레포에 무해한 풀 리퀘스트를 열고, 그런 다음 테스트를 중단한다.

• 2026년 7월 25일 22:49:45 UTC — OpenAI가 최초 제출로부터 약 14시간 후, 문제가 해결되었음을 확인하는 답변을 보내왔습니다.

• 2026년 7월 28일 — Discourse가 패치 및 재빌드 안내를 포함한 보안 권고 GHSA-vhm9-85gw-x335를 게시합니다.

• 2026년 9월 1일 — OpenAI가 6,500달러의 바운티를 지급하고 해당 보고서를 해결됨으로 표시합니다.

위의 날짜들은 재구성이 아니라 Hacktron의 것이다. 자체 게시물의 9월 13일 게시일, 9월 17일 Wall Street Journal 보도, 9월 18일 TechCrunch 기사는 별개의, 더 나중의 연속이다. 작업은 7월에 이루어졌고, 글은 9월 중순에 나왔다.

이미지 업로드가 어떻게 서버 침해로 이어졌는가

이 연쇄는 평범한 기능에서 시작된다. Discourse는 보통 업로드된 이미지를 FastImage라는 라이브러리로 검사하지만, FastImage는 Apple 기기가 사진에 사용하는 컨테이너 형식인 HEIF를 지원하지 않는다. 따라서 해당 파일들은 변환을 위해 ImageMagick의 명령줄 도구로 넘겨졌고, 이 도구는 다시 파일을 libheif로 넘겨 디코딩했다. 그 결과 공격자가 제어하는 파일 바로 앞에 파서가 놓이게 되었다. 이는 xkcd의 의존성 만화가 염두에 두는 바로 그 패턴이며, Hacktron이 참고 자료에서 인용하는 것이다.

Hacktron은 Discourse의 Docker 이미지에 설치된 libheif 패키지에 보안 수정 사항이 빠져 있다는 사실을 발견했습니다. Discourse 이미지는 Debian 12를 기반으로 빌드되었으며, 여기에는 libheif 1.19.7이 설치되었습니다. 당시 Debian 13에도 여전히 1.19.8이 제공되었습니다. 버그 자체는 기본 이미지 위에 오버레이 이미지를 합성하는 HeifPixelImage::overlay()에 있습니다. libheif 자체 권고에 따르면, 오버레이 자식의 알파 채널 비트 심도가 색상 채널과 다를 때 이 함수는 알파 평면을 알파 평면의 스트라이드가 아니라 색상 채널의 스트라이드로 인덱싱합니다. 10비트 색상과 8비트 알파를 가진 100x50 이미지의 경우, 권고는 코드가 7,168바이트 버퍼의 끝을 넘어 3,123바이트를 읽는다고 계산합니다.

이는 공격자에게 유출된 힙 메모리를 제공하며, 이는 주소 무작위화를 무력화하는 데 유용하지만 그 자체만으로 셸을 얻는 것은 아니다. 유출에서 실행까지 도달하는 부분이 바로 모델이 필요했던 부분이며, CVE가 설명하지 않는 부분이기도 하다. 그다음 이 체인은 Hacktron이 진짜 핵심이라고 주장하는 신뢰 경계를 넘었다. OpenAI의 포럼은 auth.openai.com을 통해 "Sign in with OpenAI"를 제공하는데, 이는 직원들이 다른 곳에서 사용하는 것과 동일한 싱글 사인온이다. 포럼 서버를 장악했다는 것은 연구원들이 피해자의 어떠한 상호작용도 없이 OpenAI에서 근무하던 포럼 회원들의 ChatGPT 및 Codex 계정을 탈취할 수 있었음을 의미했다. Hacktron의 표현대로 "권한 상승을 가능하게 하는 취약점은 Discourse에 국한된 것이 아니며", 해당 사인온을 사용하는 모든 자사 또는 제3자 OpenAI 서비스가 동일한 접근 권한을 허용했을 것이다.

확립된 것, 그리고 추론된 것

아카이브는 이 기록의 신뢰도를 A로 평가하며, 논쟁의 여지가 없고 심각도는 높으며 실제 피해는 기록되지 않았다. 그 항목들은 타당하다. 그러나 보고는 단일 연구팀의 설명으로, 독립적으로 재구성된 것이 아니라 교차 확인된 것이며, 문서화된 것과 주장된 것을 구분할 가치가 있다.

1차 기록으로 확인됨. CVE-2026-32882은 존재하며 2026년 5월 19일에 공개되었고, libheif 1.21.2 및 그 이전 버전에 영향을 미치며 libheif 1.22.0에서 수정되었습니다. MITRE 기록은 이를 7.1로 평가하며, 공격 벡터는 네트워크, 복잡도는 낮음, 필요한 권한은 없음, 사용자 상호작용 필요, 영향은 기밀성 낮음 및 가용성 높음 — 충돌 또는 메모리 누수입니다. 2026년 7월 28일에 공개되고 hacktronai-research에 공로가 돌아간 Discourse의 권고 GHSA-vhm9-85gw-x335는 동일한 CVE를 추적하며 결과를 8.8의 High로 평가하는데, 필요한 권한은 낮음, 사용자 상호작용 없음, 기밀성·무결성·가용성 세 가지 모두에 높은 영향을 미칩니다. 여기에는 패치된 버전 2026.7.0, 2026.6.1, 2026.5.2 및 2026.1.6이 나열되어 있으며, 최신 Docker 이미지에는 패치된 libheif가 포함되어 있다고 명시되어 있습니다.

두 곳의 독립 매체가 확인한 사실입니다. 연구진이 Claude를 사용해 해당 체인을 찾아내 무기화했다는 점, 포럼 침해로 직원 계정 접근 권한이 확보되었다는 점, OpenAI가 약 14시간 만에 이를 수정하고 6,500달러를 지급했다는 점, 접근 증명이 단일 풀 리퀘스트였다는 점, 그리고 OpenAI가 포럼 자체를 테스트하는 것은 자사 바운티 범위를 벗어난다고 밝혔다는 점 — 이 모든 내용이 Hacktron의 보고서를 직접 인용한 The Hacker News와 TechCrunch에 실렸습니다.

Hacktron의 주장이며 독립적으로 검증되지 않았습니다. 포럼에서의 코드 실행이 설명된 방식, 즉 자율 에이전트 루프와 프록시된 테스트 인스턴스를 통해 실제로 이루어졌다는 점은 Hacktron의 설명에 근거한 것이며 제3자가 재현하지 않았습니다. The Hacker News는 포럼 코드 실행이 어떻게 이루어졌는지와 계정 접근 범위에 관한 질문을 담아 Hacktron에 연락했다고 밝혔으며, 답변을 받았다고는 보도하지 않았습니다. 동일한 결함 계열이 Slack, Meta, GitHub Enterprise 및 웹 프레임워크에까지 이르렀다는 주장은 The Hacker News 자체 평가로는 "고르게 뒷받침되지 않는다": Next.js 결함은 Vercel의 권고문에서 확인되었고 libheif 유지관리자들은 Meta와 관련된 버그에 대해 작동하는 익스플로잇을 확인했지만, 여러 애플리케이션 전반의 코드 실행이라는 더 광범위한 주장은 독립적으로 확인되지 않았습니다. OpenAI는 로그온 결함에 관한 기술적 설명을 전혀 공개하지 않았습니다. OpenAI는 계정 탈취를 문서화하기보다는 수정과 지급을 통해 발견 사실을 확인했습니다.

전혀 확인되지 않았습니다. 접근 가능했던 직원 계정이 몇 개인지 — The Hacker News는 "여러 개", TechCrunch는 "다수"라고 하며 Hacktron은 수치를 제시하지 않습니다. 해당 결함이 다른 누군가에 의해 사용된 적이 있는지 여부: The Hacker News는 실제 세계에서 사용된 흔적이 없다고 보도하며, 2026년 9월 중순 기준으로 해당 CVE가 미국 정부의 악용된 것으로 알려진 취약점 목록에 없었다고 언급하지만, 그 목록이 어느 쪽의 증거도 아니라고 경고합니다. 그리고 이미 패치한 조직이 이전 접근 흔적을 여전히 찾아봐야 하는지 — The Hacker News는 소식통들이 그 점에 대해 침묵한다고 말합니다.

모델들이 한 일과 인간들이 한 일

해킹트론(Hacktron)이 스스로 강조하는 부분은 바로 이 능력의 도약이며, 이는 추론된 것이 아니라 자사 표현으로 문서화되어 있다. 팀은 먼저 사이버보안 연구자들에게 제공된 빌드에서 Claude Opus 4.8을 사용해 설치된 libheif 패키지를 검사하고 ASLR이 비활성화된 상태에서 익스플로이트를 작성했다. ASLR이 켜진 상태에서는 여러 세션에 걸쳐 진전을 이루지 못했다. Anthropic은 2026년 7월 24일 저녁 Claude Opus 5를 출시했고, 새로운 세션에서 새 모델은 약 3시간 만에 로컬 Mac용으로 작동하는 ARM64 익스플로이트를 만들어냈으며, 다음 날 아침 06:00까지 Discourse가 사용하는 x86-64 구성으로 포팅되었다.

Claude Opus 5는 실제 대상에 대한 익스플로잇 코드 작성을 방지하는 안전장치와 함께 출시되었습니다. Hacktron은 모델을 자사의 Discourse Cloud 인스턴스로 향하게 하고, rce.ee/ctf-forum이라는 호스트를 통해 프록시하여 대상이 캡처 더 플래그(capture-the-flag) 훈련처럼 보이게 했으며, 모델을 자율 목표 루프에서 실행함으로써 이를 우회했다고 말합니다. 팀은 이것이 무인 해킹이 아니었다고 분명히 밝힙니다. "숙련된 인간의 안내가 여전히 중요했다"라고 쓰면서도, 소규모 팀이 수행할 수 있는 작업량은 극적으로 증가했다고 합니다. 더 넓은 HEIF Heist 캠페인에서 Hacktron은 대상에 대해 사전 지식이 전혀 없는 경우에는 OpenAI의 GPT-5.6 Sol을 사용했다고 말합니다.

경제성이 바로 Hacktron이 독자에게 전달하고자 하는 핵심 논점이다. 더 넓은 캠페인 전반에서 — 동일한 유형의 결함을 Slack, Meta, GitHub Enterprise, Ruby on Rails, 그리고 Next.js, Astro, Gatsby 프레임워크를 통해 추적하며 — Hacktron은 세 명의 연구자가 두 달간 작업하는 데 토큰 비용이 3,000달러 미만이었고, 각각의 새 대상에 적응하는 데 하루나 이틀이 걸렸다고 밝혔다. 또한 수천 장의 테스트 이미지가 전송되고 이미지 프로세서가 반복적으로 충돌했음에도, Shopify를 제외하고는 이 활동을 탐지한 회사를 알지 못한다고 말했다.

그 후 무엇이 달라졌나요?

Discourse는 토요일에 보고서를 접수하고 일요일에 답변했으며, 월요일까지 수정 사항을 마련해 7월 28일 권고문을 게시했고, 심층 방어를 위해 이미지 처리에 샌드박싱을 추가했습니다. 해당 권고문은 자체 호스팅 사용자에게 웹 인터페이스 업데이트만으로는 기반 라이브러리를 대체하지 못할 수 있으며, /var/discourse에서 전체 재빌드가 필요하다고 경고합니다. Debian은 2026년 8월 8일 Debian 13의 libheif에 대한 보안 업데이트를 게시했으며, 이는 DSA-6417-1로 추적됩니다. 업스트림에서 Hacktron은 2026년 9월 14일 기준 최신 보안 릴리스로 libheif 1.23.4를 독자들에게 안내하며, 배포판 패키지는 더 오래된 버전 번호 아래에 백포트된 수정 사항을 포함할 수 있으므로 업스트림 버전뿐 아니라 패키지 권고문도 확인해야 한다고 언급합니다.

OpenAI의 경우, 수정은 7월 25일 보고 후 약 14시간 이내에 적용되었고, 포상금은 9월 1일에 지급되었다. 회사는 지급에 범위 명확화를 덧붙였다: Discourse에서 호스팅되는 community.openai.com에 대한 테스트는 버그 바운티 프로그램에서 명시적으로 제외되었으며, 이 보상은 Discourse에 대한 조치가 아니라 OpenAI 측 발견을 인정한 것이다. 이는 주의 깊게 읽어볼 가치가 있다. 6,500달러는 포럼 체인이 아니라 사인온 취약점 발견에 대한 지급이며, 그 체인을 가능하게 한 포럼 작업은 OpenAI 자체 설명에 따르면 범위 밖이었다.

CVE가 헤드라인과 일치하지 않는 이유

이 사건에 대한 보도는 서로 다른 두 심각도 등급을 하나로 압축하는 경향이 있습니다. libheif 권고와 CVE는 기밀성 영향은 낮게, 가용성 영향은 높게 평가된 범위 밖 읽기를 설명합니다. 즉 충돌 또는 메모리 유출입니다. Discourse 권고는 그 읽기가 익스플로잇 작업 및 두 번째 결함과 결합되었을 때 발생한 일을 설명하며, 세 범주 모두에 완전한 영향을 미치는 것으로 8.8을 평가합니다. 어느 쪽도 틀리지 않습니다. 두 문서는 서로 다른 질문에 답하고 있습니다. CVE는 "이 라이브러리 버그는 얼마나 심각한가?"에 답하고, 포럼 권고는 "이 포럼 문제는 얼마나 심각한가?"에 답합니다.

실질적인 결과는 libheif의 치명적인 원격 코드 실행 결함을 찾기 위해 CVE 피드를 훑는 독자가 여기서는 그런 결함을 발견하지 못하고, 영향을 받지 않는다고 합리적으로 결론 내릴 수 있다는 점입니다. Hacktron 자체의 지침은 정반대입니다. 사용자가 제공한 HEIC, HEIF 또는 AVIF 이미지를 받아 패치되지 않은 libheif를 통해 디코딩하는 모든 서비스는 노출된 것으로 취급해야 하며, 백포트가 오래된 버전 문자열 아래에서 적용되기 때문에 버전 번호만으로는 충분한 확인이 될 수 없습니다. 권장하는 세 가지 완화 조치는 배포판의 보안 채널 또는 최신 업스트림 릴리스를 통해 libheif와 libde265를 업데이트하는 것, 필요하지 않은 곳에서는 신뢰할 수 없는 HEIF 및 AVIF 디코딩을 비활성화하거나 이미지 처리를 임시 샌드박스에서 격리하는 것, 그리고 — 이미지 라이브러리를 넘어 일반화되는 조치 — 싱글 사인온이 신뢰하는 서비스를 제한하고 기존 세션을 신뢰하는 대신 민감한 작업 전에 새로운 신원 확인을 요구하는 것입니다.

마지막 요점은 다른 곳에도 적용할 수 있는 발견이다. 포럼은 취약점이 아니었다. 그것은 관문이었다. 공개적이고 신뢰도가 낮은 서비스가 내부 도구와 동일한 ID 공급자를 공유한다는 것은, 조직 내에서 가장 약한 자산을 뚫으면 가장 강한 자산에 접근할 수 있게 된다는 뜻이었다. Hacktron의 설명 어디에도 OpenAI가 포럼 자체를 부주의하게 다뤘다는 암시는 없다. 팀 자체 평가에 따르면 Discourse는 "실제로 쉬운 표적이 아니다"이며, 바로 그렇기 때문에 이 사례가 인용되고 있다. 실패한 것은 버그가 아니라 신뢰 경계였다.