Claude가 OpenAI를 해킹하지 못하자 Anthropic이 Opus 5를 출시했습니다

Hacktron AI의 보안 연구원 세 명이 광범위하게 사용되는 이미지 라이브러리에서 메모리 손상 버그(memory-corruption bug)를 발견했습니다. 이 버그를 찾아내는 것은 쉬운 일이었습니다.

어려웠던 부분은 그것을 실제 서버에서 작동하는 무언가로 만드는 것이었고, 그래서 7월 24일 그 임무를 Anthropic의 Claude Opus 4.8에 맡겼습니다. 이 모델은 운영체제의 메모리 난수화(memory randomization) 기능을 꺼놓았을 때만 성공했습니다. 보호 기능이 켜져 있는 — 모든 프로덕션 환경에서 실행되는 방식인 — 경우에는 작성한 어떤 것도 작동하지 않았습니다.

그날 저녁, Anthropic은 Opus 5를 출시했습니다.

연구원들은 다음 날 같은 버그와 새로운 모델을 가지고 돌아왔습니다. 약 세 시간 후, Opus 5는 연구원 책상 위의 Mac에서 작동하는 ARM64 익스플로잇(exploit)을 실행했습니다. 그로부터 약 네 시간 뒤에는 테스트 포럼에 대한 원격 코드 실행(remote code execution)까지 성공했습니다.

시작한 지 72시간도 채 되지 않아, 그들은 OpenAI의 비공개 모노레포(monorepo)에서 내용을 읽고 있었습니다 — OpenAI 직원의 Codex 계정을 사용하여 README에 대해 풀 리퀘스트(pull request)를 열었다가 거기서 멈췄습니다.

Hacktron AI는 이번 주 자사 웹사이트에 사건 경위를 발표했습니다.

이미지를 통해 시작되었습니다

이 버그는 OpenAI가 작성한 어떤 코드에도 있는 것이 아니었습니다. Hacktron은 회사의 사용자 포럼인 community.openai.com을 테스트하고 있었는데, 이 포럼은 Discourse라는 소프트웨어로 운영됩니다 — 수천 개의 다른 사이트 뒤에 숨어있는 동일한 기성 포럼 소프트웨어입니다.

Discourse는 일반적으로 FastImage를 사용하여 업로드된 이미지를 스크리닝합니다. 하지만 FastImage는 HEIC와 HEIF 형식을 처리하지 못하기 때문에, 해당 파일들은 대신 ImageMagick으로 전달되고, ImageMagick은 libheif로 이를 디코딩합니다.

포럼이 사용하던 Debian 12 기본 이미지에서 실행되는 버전인 1.19.7에는 특수하게 제작된 파일로 트리거할 수 있는 히프 버퍼 오버플로우(heap buffer overflow)가 있었습니다.

패치는 전년도에 상위 레벨(upstream)에 올라왔었습니다. 하지만 이 커밋은 보안 패치로 문서화되지 않았고 CVE를 받지 못했기 때문에, 포럼이 사용하던 Debian 패키지에 백포트(backport)되거나 적용되지 않은 — 아무도 이를 표시하지 않아 여전히 악용 가능한 버그였습니다.

연구자들은 이 익스플로잇을 x86-64 및 jemalloc 구성의 Discourse에 적용했으며, 변조된 HEIC 이미지만으로 원격 코드 실행(remote code execution)을 유발하기에 충분했습니다.

Discourse는 나중에 보안 권고 GHSA-vhm9-85gw-x335에서 이 취약점을 확인했으며, 상위 libheif 결함—CVE-2026-32882로 추적됨—을 CVSS 심각도 척도에서 10점 만점에 8.8점으로 평가했습니다. The New Stack은 연구자들이 Claude를 사용한 것에 대한 추가 세부 정보를 얻기 위해 Hacktron AI에 연락했으며, 답변을 받는 대로 이 기사를 업데이트할 예정입니다.

하나의 익스플로잇, 훨씬 더 큰 경로

포럼에서의 코드 실행은 포럼에게 나쁜 날입니다. 하지만 그것이 포럼을 소유한 회사에게까지 나쁜 날일 필요는 없습니다. 여기서 체인은 OpenAI 자체의 영역으로 넘어갔습니다. Hacktron은 OpenAI의 싱글 사인온(single sign-on) 시스템에서 결함을 발견했습니다. 포럼용으로 발급된 로그인 토큰이 과도한 권한을 가지고 있어, 연결된 ChatGPT 및 Codex 계정에 전체 API 접근 권한을 부여했습니다. 이들 계정 중 일부는 OpenAI 직원의 것이었습니다.

직원 한 명의 Codex 계정이 OpenAI의 GitHub 환경에 연결되어 있었고, 이는 회사 사설 저장소로 이어지는 경로를 열어주었습니다. Hacktron은 다른 계정들도 Slack 및 이메일을 포함한 연결된 서비스들을 노출할 수 있었다고 말합니다.

팀은 거기서 멈췄습니다. Codex를 사용하여 OpenAI의 사설 openai/openai 모노레포(monorepo)에 무해한 문서 변경을 가하고 풀 리퀘스트(pull request)를 열었습니다. 이는 접근이 실제임을 증명하기에 충분했고, 그 이상도 아니었습니다. Hacktron의 보고서에 따르면 이 풀 리퀘스트의 세부 정보는 OpenAI의 요청으로 삭제되었습니다.

어시스턴트에서 익스플로잇 개발자로

지금까지 이 세 명의 숙련된 연구자들은 여전히 과정 속에 있었습니다. 그래서 Hacktron은 인간이 대부분 빠진 상태로 실험을 다시 진행했습니다.

그들은 Claude를 자율 에이전트 루프(autonomous agent loop)에 배치하여 목표, 대상, 그리고 계속 작업할 시간을 부여했고, 이를 자신들의 Discourse 인스턴트에 겨냥했습니다. 모델은 스스로 그곳에 도달하여 원격 코드 실행을 달성하고 컨테이너 내부에서 /etc/hosts를 읽음으로써 이를 입증했습니다.

시작하는 데 필요한 것은 하나의 속임수였습니다: Opus는 실제 원격 호스트를 겨냥한 익스플로잇 작성을 거부했습니다. 그래서 팀은 rce.ee/ctf-forum을 통해 자체 인스턴스를 프록시했습니다.

이 URL은 목표가 캡처 더 플래그(capture-the-flag) 연습의 일부인 것처럼 보이게 만들었습니다.

메모리 손상 익스플로잇(Memory-corruption exploitation)은 항상 전문적인 작업이었으며, 메모리 레이아웃, 할당자(allocators), 운영 체제 내부 구조, 그리고 모든 것을 매우 불안정하게 만드는 보호 장치들을 수반했습니다. Hacktron의 실행은 그 작업의 의미 있는 부분이 이제 AI에 위임될 수 있음을 시사합니다. 또한 보안 연구와 공격 개발 사이의 경계가 — 적어도 모델 측면에서는 — 부분적으로 무엇을 목표로 삼는지 여부의 문제임을 시사합니다.

전체 체인(The full chain)

모두 합쳐진 공격은 다음과 같았습니다:

HEIF 업로드 → libheif 오버플로우 → 포럼에서의 코드 실행 → 과도한 권한을 가진 SSO 토큰 → 직원의 ChatGPT/Codex 계정 → 연결된 GitHub → openai/openai의 풀 리퀘스트(pull request)

2개월 프로젝트, 3,000달러 미만

OpenAI 침입은 팀이 “HEIF Heist”라고 부른 더 광범위한 프로젝트 중 하나의 스레드였습니다. 이 프로젝트는 여러 주요 기술 플랫폼에 걸친 이미지 처리 인프라를 약 두 달 동안 점검한 것이었습니다. 전체 노력에는 모델 토큰으로 3,000달러가 채 소요되지 않았습니다.

OpenAI는 자사 측의 계정 탈취 결함에 대해 Hacktron에게 6,500달러의 바운티를 지급했습니다. 이후 커뮤니티 로그인 토큰의 권한을 축소하고 영향을 받은 토큰과 세션을 취소했습니다.