연구팀, Claude 도움으로 72시간 안에 OpenAI 계정에 접근했다고 주장

들어가며

AI는 취약점 탐색과 검증, 공격 코드의 환경별 수정에 드는 시간을 줄이고 있습니다. The Verge가 The Wall Street Journal의 보도를 인용해 전한 내용에 따르면, 독립 보안 연구팀 Hacktron의 3명은 Anthropic의 Claude Opus 4.8과 5, 그리고 OpenAI의 Codex를 사용해 72시간 이내에 OpenAI 직원 관련 계정에 접근했다고 주장했습니다. 이 사건을 “AI가 혼자 OpenAI를 해킹했다”고 해석하는 것은 정확하지 않습니다. 핵심은 사람이 목표와 절차를 정하고, AI가 코드 분석과 수정, 환경 적응을 빠르게 했다는 점입니다.

핵심 내용

• Hacktron은 OpenAI 커뮤니티 포럼을 호스팅하는 외부 서비스 Discourse를 공격의 출발점으로 삼았습니다. 팀에 따르면 Discourse가 HEIF 이미지를 처리하는 방식의 문제를 악용해 Discourse Cloud에서 원격 코드 실행을 달성했습니다.
• 연구원들은 Claude Opus 5가 7월 24일 저녁 출시된 뒤 다음 날 오전 10시까지 Discourse의 대상 인스턴스에 접근하는 데 성공했다고 설명했습니다.
• 이후 OpenAI의 GitHub 환경으로 이어지는 경로를 확보하고 “Monorepo”라는 저장소에 접근했다고 주장했습니다. 이 저장소에는 OpenAI의 알고리즘 관련 비밀이 들어 있는 것으로 보도됐지만, Hacktron은 내부 코드를 직접 읽지는 않았다고 밝혔습니다. 대신 직원의 Codex 계정에서 풀 리퀘스트를 제출해 접근 권한을 입증했습니다.
• Hacktron은 “HEIF Heist” 프로젝트를 OpenAI, Slack, Meta, GitHub Enterprise, Rails, Next.js, ImageMagick 등에 적용하는 데 1~2일만 걸렸으며, 모델 토큰 비용은 3,000달러 미만이었다고 주장했습니다. 팀이 파악한 범위에서 이러한 활동을 탐지한 대상은 Shopify뿐이었다고도 설명했습니다.
• Discourse와 OpenAI에 보고된 취약점은 이후 수정됐습니다. Hacktron은 OpenAI가 제보 대가로 6,500달러를 지급했다고 밝혔습니다.

의미와 영향

이 사례는 AI 코딩 도구가 공격 연구의 반복적인 작업을 얼마나 압축할 수 있는지 보여줍니다. 연구자는 이미지 처리 흐름을 분석하고, 비정상 입력을 만들고, 개념증명 코드를 고친 뒤, 각 대상 환경에 맞게 수정해야 합니다. 모델은 낯선 코드의 구조를 설명하고, 실패 가능성이 있는 지점을 찾고, 코드 변형을 생성하며, 환경 차이에 대응하는 일을 도울 수 있습니다. 최종 판단과 검증은 여전히 사람이 담당하지만, 실험과 수정의 주기는 짧아질 수 있습니다.

또 다른 쟁점은 고급 공격 능력의 확산입니다. Hacktron의 CTO는 자신들을 “Claude와 Codex 구독을 가진 세 명의 사람일 뿐”이라고 표현하면서, 더 정교한 위협 행위자만큼 강하지는 않다고 말했습니다. 이는 연구팀의 자기평가이며 독립적으로 검증된 측정치는 아닙니다. 그럼에도 강력한 모델 지원을 일반적인 구독 방식으로 이용할 수 있다면, 취약점 활용을 준비하는 능력이 대규모 조직 밖으로 퍼질 수 있다는 우려를 제기합니다.

동시에 공개된 정보의 한계도 분명합니다. 세부 내용은 주로 Hacktron의 설명과 The Wall Street Journal의 보도에 기반하며, 연구원들이 Monorepo의 내부 코드를 읽었다거나 Claude가 공격을 자율적으로 끝냈다는 사실을 입증하지는 않습니다. 가장 신중한 해석은 사람이 목표를 선택하고 작업을 지시하며 결과를 확인했고, 모델이 분석과 반복 작업을 가속했다는 것입니다.

기업은 외부 서비스, 미디어 파서, 직원 인증 정보가 하나의 공격 경로로 연결될 수 있다는 점을 고려해야 합니다. 신속한 패치, 서비스 계정의 최소 권한 설정, 비정상적인 풀 리퀘스트 모니터링, AI 지원 보안 자동화에 대한 감사가 네트워크 경계 방어만큼 중요해질 수 있습니다.

출처: The Verge AI