Anthropic의 Claude가 OpenAI를 침해한 적이 있다

AI 보안의 진화하는 지형을 강조하는 developments에서, 독립 연구자들은 Anthropic의 Claude를 활용해 OpenAI를 침해했으며, 이는 The Wall Street Journal이 목요일 보도한 바와 같이 ChatGPT 개발자의 방어 체계에 취약점이 존재함을 드러냈다.

Hacktron AI의 3인조 팀은 OpenAI의 버그 바운티 프로그램 하에서 이 취약점을 실행했다. 그들은 자신의 발견을 보고한 후 스타트업으로서 6,500달러의 보상을 받았다. 두 가지 중대한 취약점을 연결함으로써 이 팀은 여러 OpenAI 직원들의 ChatGPT 계정에 접근했으며, 이를 통해 회사의 내부 소프트웨어 인프라를 침투했다.

OpenAI는 Hacktron이 식별한 취약점이 해결되었음을 밝혔으며, 이는 안전 프로토콜에 대한 최상위 AI 기업들의 감시가 강화되는 시점과 일치한다.

이 사건은 최근 OpenAI의 자체 AI 에이전트가 사이버 보안 평가 중 격리 상태를 위반하고 Hugging Face를 해킹한 사건에 이어진 것으로, AI 모델의 자율성이 증가하고 있음을 보여준다. 또한 상용 오픈 소스 기술이 가장 진보된 기업 인프라의 약점을 식별하는 데 어떻게 활용될 수 있는지 입증한다.

“월 200달러만 지불하면 누구나 OpenAI와 같은 회사에 해킹할 수 있는 이러한 도구를 이용할 수 있다.” AI 보안 기업 Gray Swan의 CEO인 Matt Fredrikson은 TechCrunch에게 말했다. “그들에게 일어날 수 있는 일이라면 — 그리고 나는 그들이 최근 사이버 보안 위생 관리에 소홀했다고 믿지 않는다 — 그것은 누구에게나 일어날 수 있다.”

한 AI 평론가는 소셜 미디어에서 다음과 같이 지적했다. “[Hacktron]은 Opus 5를 사용해 해킹을 실행했다… 긴급한 질문은, 이 세 명의 개인이 이를 성취할 수 있다면 국가 단위의 행위자가 무엇을 할 수 있겠는가 하는 것이다.”

연구자들은 7월 25일 Discourse의 결함을 통해 OpenAI로의 진입점을 식별했으며, Discourse는 OpenAI의 커뮤니티 포럼을 구동하는 서드파티 소프트웨어이다.

연구자들의 블로그 게시물에 따르면 초기 벡터는 일반적인 이미지 업로드였다. 사용자가 포럼에 HEIF 또는 HEIC 이미지 파일(아이폰의 기본 형식)을 제출하면, Discourse는 이를 표준 JPEG로 변환하기 위해 일련의 백엔드 도구를 통해 처리했다. 첫 번째 단계는 이미지 크기를 조정하는 오랜 역사의 오픈 소스 유틸리티인 ImageMagick이었다. ImageMagick의 표준 툴킷은 Apple의 형식을 처리할 수 없었기 때문에, 디코딩 작업을 libheif라는 다른 라이브러리에 위임했다.

libheif 내부에는 공격자가 악성 명령을 주입할 수 있는 메모리 오류가 숨겨져 있었다. 연구자들은 특수하게 제작된 이미지를 라이브러리에 제공함으로써, 한 이미지가 다른 이미지 위에 배치되는 위치를 잘못 계산하게 만들었고, 이는 결국 서버를 탈취할 수 있게 해주었다.

사이버 보안 커뮤니티가 우려할 만한 점은 이 버그가 libheif의 개발자들에 의해 수개월 전에 수정되었음에도 불구하고, 해당 수정이 공식적으로 취약점으로 지정되지 않았다는 것이다. 즉, 이는 알려진 보안 결함을 추적하는 산업 표준인 CVE(Common Vulnerabilities and Exposures) 번호를 받지 못했다. Hacktron은 이러한 oversight가 Discourse가 여전히 취약한 버전의 소프트웨어를 실행하고 있던 이유를 설명할 수 있다고 제안한다.

특히 연구자들은 그들이 사용하던 Claude 모델 — 사이버 보안 연구자들을 위해 제공된 Opus 4.8의 특수 버전 — 이 작동 가능한 익스플로잇을 생성하는 데 초기에는 실패했다고 보고했다. 이는 Anthropic이 Opus 5를 출시한 이후 밤새 변경되었다.

“Opus 4.8은 여러 세션에 걸쳐 작동 가능한 익스플로잇을 생성하는 데 어려움을 겪었다.” Hacktron은 블로그 게시물에 썼다. “Opus 5가 출시된 지 몇 시간 내에, 우리는 동일한 문제를 제시했고 그것은 성공했다.”

Discourse 서버 내부에 진입한 후, 연구자들은 사용자의 ChatGPT 및 Codex 계정, 심지어 OpenAI 직원들의 계정을 포함해 통제할 수 있는 또 다른 결함을 발견했다.

“우리는 이후 OpenAI 직원의 계정을 탈취했으며, 해당 직원의 Codex는 OpenAI의 Github 조직과 연결되어 있었다.” Hacktron은 사건 요약에서 썼다.

이 단계에서 연구자들은 OpenAI와 Discourse 모두에게 통보했으며, Discourse는 7월 27일 수정판을 발표했다.

이 사건은 모델 능력의 한계를 강조한다. 취약점을 성공적으로 exploited한 Claude Opus 5는 새로운 Mythos 5와 달리 보안 수출 제한을 받지 않았는데, Mythos 5는 고급 해킹 잠재력에 대한 우려로 인해 일시적으로 제한되었다.

이들은 폐쇄형 모델일 뿐이다. 오픈 가중치 모델들은 최첨단 모델과 사이버 능력 격차를 좁히는 데 점점 더 가까워지고 있다. 예를 들어, AI 안전 비영리団体 SaferAI는 최근 중국 기업 Z.ai의 GLM-5.2가 사이버 능력 측면에서 OpenAI의 GPT-5.5 및 Anthropic의 Claude Opus 4.7보다 몇 달 뒤쳐져 있음을 발견했다.

Hacktron의 창립자 Mohan Pedhapati는 X에서 다음과 같이 말했다. “AI는 익스플로잇 개발에 필요한 희귀한 전문 지식의 양을 줄이고 있다. 한때 몇 달이 걸리던 작업이 이제 며칠 만에 완료될 수 있다.”