OpenAI 해킹 — libheif 취약점과 SSO 설정 오류로 직원 ChatGPT·Codex 계정 탈취

본문

AI 보안 연구팀 Hacktron이 2026년 7월 25일, 두 개의 치명적 취약점을 연결해 OpenAI 직원 여러 명의 ChatGPT 계정을 탈취했다고 공개했습니다. 이 계정들로 OpenAI 내부 저장소와 GitHub, Slack, 이메일 등 Codex·ChatGPT에 연결된 각종 커넥터에 접근할 수 있었습니다. 연구팀은 민감한 정보를 보지 않으면서 접근 권한을 증명하기 위해 직원의 Codex를 이용해 OpenAI 내부 모노레포(openai/openai)에 PR #1186742를 여는 것으로 개념 증명을 대신했습니다. 최초 발견부터 내부 저장소 접근까지 걸린 시간은 72시간 미만이었습니다.

공격 경로: libheif RCE + SSO 설정 오류

OpenAI는 커뮤니티 포럼(community.openai.com)에 Discourse를 사용하고, auth.openai.com을 통한 "Sign in with OpenAI" SSO를 제공합니다. 연구팀은 포럼을 침해하면 이 인증 흐름을 통해 더 넓은 OpenAI 서비스로 나아갈 경로가 생길 것이라 가설을 세웠고, 먼저 Discourse에 대한 원격 코드 실행(RCE)이 필요했습니다. Discourse 자체는 어려운 표적이므로 의존성을 노렸습니다. Discourse의 이미지 업로드 파이프라인에서 HEIC/HEIF 파일은 FastImage가 지원하지 않아 ImageMagick의 magick 명령으로 전달되고, 이 과정에서 libheif 파서가 공격자 제어 파일에 직접 노출됩니다. 해당 libheif에는 보안 수정이 백포트되지 않아 HEIC 디코딩 중 힙 버퍼 오버플로로 OOB 읽기/쓰기 프리미티브가 가능했습니다. 취약한 코드는 전년도에 업스트림에서 수정됐지만 보안 수정으로 문서화되지 않아 CVE도 없었고, 이 때문에 Debian 12와 13에도 백포트가 늦어졌습니다. Discourse Docker 이미지는 Debian 12 기반이라 취약한 libheif 1.19.7을 포함하고 있었습니다.

AI 에이전트로 개발한 익스플로잇

연구팀은 Claude Opus 4.8로 ASLR이 꺼진 환경의 익스플로잇을 만들었지만 ASLR 활성 환경에서는 성공하지 못했습니다. 그날 저녁 Claude Opus 5가 출시되자 새 세션에서 3시간 만에 ARM64 로컬 익스플로잇을 만들었고, Discourse의 x86-64·jemalloc 환경으로 이식해 7월 25일 오전 6시에 로컬 RCE를 확인했습니다. 이후 자율 /goal 루프로 자사 Discourse Cloud 인스턴스에서 RCE를 달성했고, 생성된 스크립트로 OpenAI 인스턴스까지 RCE에 성공했습니다. 팀은 포럼 활동 사용자의 ChatGPT·Codex 계정을 무()상호작용으로 탈취할 수 있음을 확인한 뒤 즉시 보고했습니다. 연구팀은 권한 상승의 핵심이 Discourse 고유 문제가 아니라 OpenAI SSO 설정 오류임을 강조하며, OpenAI SSO를 쓰는 자사·서드파티 서비스 중 하나라도 침해되면 동일한 접근이 가능하다고 지적했습니다.

비용과 시사점

OpenAI 해킹에는 인간의 시간은 몇 시간, 에이전트 작업은 며칠이 들었습니다. Slack, Zoom, Meta 등을 대상으로 한 더 큰 HEIF Heist 프로젝트 전체는 연구자 3명이 두 달간 진행했고 토큰 비용은 $3,000 미만이었습니다. 새 대상에 익스플로잇을 적응시키는 데 보통 하루 이틀이면 충분했고, 수천 장의 이미지를 보내고 이미지 프로세서를 반복적으로 크래시시켰음에도 Shopify 외에는 탐지한 회사가 없었다고 합니다. 팀은 "복잡성에 의한 보안"이 실제 경계가 아니었으며, AI가 희소한 전문성을 연산 자원으로 바꾸면서 위협 모델이 현재의 익스플로잇 경제학을 반영해야 한다고 결론 내렸습니다. 자체 호스팅 Discourse 사용자에게는 git pull 후 ./launcher rebuild app으로 재빌드할 것을 권고했고, 최신 보안 패치는 libheif v1.23.4입니다. OpenAI는 Discourse 테스트가 바운티 범위에서 제외된다고 명확히 하며 $6,500을 지급했고, Discourse는 월요일까지 수정과 ImageMagick 샌드박싱을 완료했습니다.

Hacker News 반응

• @darnfish — 모델 웨이트가 이것보다는 더 안전하기를 진심으로 바랍니다
• @kerenskiy — 이걸로 $6,500 바운티라니 농담입니다. 블랙마켓 가격이라면 $6,500,000 이상이었을 겁니다
• @sudo_cowsay — 그래서 사람들이 나쁜 짓을 하는 겁니다. 돈이 되니까요. 영화들이 왜 이 단일 테마를 계속 쓰는지 아시겠죠? 항상 일어나는 일입니다
• @kdkdkwkdjej — 무슨 말을 하는지 잘 모르시는 것 같습니다. "돈이 된다"가 사람들이 나쁜 짓을 하는 유일한 이유는 아닙니다. 영화 얘기는 맞지만, 사람들이 흑백 논리를 좋아한다는 건 "그래서 나쁜 짓을 한다. 돈이 되니까"라는 순진한 댓글이 완벽하게 보여줍니다
• @tptacek — 이것에 대한 블랙마켓 자체가 아예 존재하지 않을 가능성이 높습니다

원문: Hacktron Blog (via Hacker News) / 번역·요약: Trawling