오픈AI 내부 코드 저장소, 클로드 오퍼스 5로 72시간 만에 뚫렸다

무엇이 바뀌었나사실

• 해크트론 AI 연구진 3명이 2026-07-23 오픈AI 커뮤니티 포럼(community.openai.com)을 호스팅하는 디스커스(Discourse)의 HEIF 이미지 처리 라이브러리 libheif 취약점을 찾았다.
• 클로드 오퍼스 4.8은 ASLR(메모리 공격 방어)이 꺼진 조건에서만 익스플로잇을 생성했고, ASLR 활성 환경에서는 여러 세션에 걸쳐 실패했다.
• 앤트로픽이 2026-07-24 저녁 클로드 오퍼스 5를 출시한 뒤 3시간 내 로컬 맥용 익스플로잇이 완성됐고, 다음 날 오전 10시 디스커스 클라우드에서 원격 코드 실행(RCE)에 성공했다.
• 연구진은 오픈AI SSO 설정 오류를 연쇄시켜 직원의 챗GPT·코덱스 계정을 탈취, 비공개 깃허브 저장소 '모노리포(Monorepo)'에 접근하고 침입 증명용 풀 리퀘스트를 남겼다.
• 두 달간 3명이 AI 비용 3000달러 미만으로 오픈AI·슬랙·메타·깃허브 엔터프라이즈·Rails·Next.js·ImageMagick 등에 같은 공격("HEIF Heist")을 이식했으며, 활동을 감지한 곳은 쇼피파이 한 곳뿐이었다.
• 오픈AI는 제보 후 약 14시간 만에 수정을 확인하고 6500달러(약 900만원) 버그 바운티를 지급했다. 그렉 브록먼 사장은 사후 감사에 프로덕션 엔지니어 25%를 투입했다고 밝혔다.

왜 중요한가편집 해설

1. 프론티어 모델 업그레이드가 곧 공격 능력 임계치를 넘긴다. 같은 팀·같은 표적에서 오퍼스 4.8은 실패하고 오퍼스 5는 성공했다. 모델 버전이 바뀔 때마다 "지금까지 안전했던 취약점"이 갑자기 실전 익스플로잇으로 전환될 수 있다는 신호다.
2. 복잡성 = 보안이라는 전제가 무너졌다. libheif 패치는 1년 전에 나와 있었지만 아무도 보안 이슈로 태깅하지 않았고 디스커스가 쓰던 데비안 패키지에는 반영되지 않았다. "누군가는 알겠지만 실제로 익스플로잇할 인력은 없다"는 자연 방벽을 AI가 지운다.
3. 공격 비용 곡선이 붕괴했다. 3명·두 달·3000달러라는 조건에서 대형 SaaS 8곳 이상을 뚫었다. 해크트론 팀이 쓴 대로 "잘 갖춰진 팀이 몇 달 걸리던 작업이 며칠로 압축"됐고, 위협 모델의 기본 상수가 바뀐다.

시장 반응편집 해설

• 오픈AI는 최근 자체 시스템의 보안 보고 정책을 새로 정비해 발표했고, 에이전트 관련 사고 내역도 공개하고 있다. 이번 감사에서 여러 심각한 문제를 추가로 발견해 수정했다고 브록먼은 밝혔다.
• 해크트론 팀은 같은 공격을 이식할 때 GPT-5.6 Sol과 비교해 오퍼스 5의 성능 우위를 관찰했다고 밝혔지만, 구체적 벤치마크 수치는 원문에 공개되지 않았다 — 확인 필요.
• 앤트로픽·오픈AI·구글 빅3 간 공식 코멘트 비교는 원문 범위에 없다 — 확인 필요.

실무자가 얻어갈 것편집 해설

1. 의존성 SBOM에 "패치는 있으나 CVE 태깅 안 된" 항목을 별도로 관리한다. libheif 사례처럼 소스 트리에 수정이 들어와도 CVE가 없으면 자동 스캐너·거버넌스 프로세스에 잡히지 않는다. 이미지·문서·폰트 파서 계열은 특히 취약하다.
2. 써드파티 SSO 신뢰 경계를 재점검한다. "Sign in with OpenAI"류 커뮤니티 포럼용 로그인이 내부 코드 저장소·챗봇 계정 권한과 같은 SSO 컨텍스트를 공유하면 포럼 침해가 곧바로 코어 자산으로 번진다. 외부 인터페이스에는 별도 토큰 스코프·짧은 만료·재인증을 적용한다.
3. 버그 바운티 상한과 AI 공격 비용 비율을 재산정한다. 6500달러 포상 vs. 공격자 AI 비용 3000달러 미만이라는 이번 수치는, 상금 규모가 공격 ROI에 뒤지지 않도록 재조정할 근거가 된다.

출처

• 오픈AI, 앤트로픽 '클로드'에 뚫렸다...핵심 코드 저장소까지 노출 — AI타임스
• Security researchers used Anthropic's Claude to hack OpenAI's internal systems in under 72 hours — The Decoder
• Security researchers used Claude to help them hack into OpenAI — The Verge