해크트론AI(HacktronAI) 연구팀이 오픈AI(OpenAI) 직원들의 챗GPT(ChatGPT) 계정에 접근할 수 있었던 취약점 2개를 연계해 내부 저장소에 시험용 풀 리퀘스트를 올렸다고 주장했다. 연구팀은 9월 18일 해크트론AI 블로그에서 이 과정이 2026년 7월 25일 진행됐으며, 오픈AI가 버그바운티로 6500달러를 지급했다고 밝혔다.
오픈AI 내부 저장소에 시험용 변경 요청
연구팀은 오픈AI 포럼으로 사용되는 커뮤니티닷오픈AI닷컴(community.openai.com)에 호스팅된 디스코스(Discourse) 환경에서 원격 코드 실행(RCE)과 관리자 권한을 확보한 뒤, 오픈AI의 인증 체계와 연결된 계정으로 접근 범위를 넓혔다고 설명했다. 이 과정에서 여러 오픈AI 직원의 챗GPT와 코덱스(Codex) 계정을 탈취할 수 있었고, 해당 계정으로 내부 저장소와 추가 연결 서비스에 접근할 가능성이 있었다는 것이다.
실제 민감정보를 열람하지 않고 접근 여부를 입증하기 위해 직원 계정의 코덱스로 오픈AI 내부 모노레포 openai/openai에 PR #1186742를 생성했다. 연구팀은 오픈AI의 요청에 따라 저장소 링크를 공개하지 않았으며, 약 72시간 이내에 취약점 발견부터 내부 저장소 접근 확인까지 마쳤다고 전했다. 초기 제보 뒤 약 14시간 만에 오픈AI로부터 수정 완료 통보를 받았으며, 그보다 앞서 추가 테스트를 중단했다. 오픈AI는 포럼 자체에 대한 테스트가 버그바운티 대상에서 제외됐지만, 오픈AI 측에서 확인된 문제에 대한 보상으로 6500달러를 지급했다고 설명했다.
이미지 처리 취약점과 인증 연계
해크트론AI는 두 취약점 가운데 하나가 디스코스의 HEIC·HEIF 이미지 업로드 처리 과정에 포함된 오래된 라이브러리에서 비롯됐다고 분석했다. 디스코스는 HEIF를 지원하지 않는 패스트이미지(FastImage) 대신 이미지매직(ImageMagick)의 magick 명령으로 파일을 변환했고, 이 과정에서 공격자가 조작한 파일이 libheif 파서에 직접 전달됐다. 연구팀은 오푸스(Opus) 4.8 세션에서 디스코스 도커 이미지에 설치된 libheif를 점검해 보안 수정 일부가 반영되지 않은 점을 찾아냈으며, HEIC 해석 중 힙 버퍼 오버플로와 메모리 범위 밖 읽기·쓰기가 가능했다고 밝혔다.
당시 디스코스 이미지가 기반으로 삼은 데비안 12에는 취약한 libheif 1.19.7이, 데비안 13에도 1.19.8이 포함돼 있었다. 연구팀은 여기에 오픈AI의 「Sign in with OpenAI」 인증 흐름과 SSO 설정 문제가 결합되면서 포럼 침해가 오픈AI 서비스와 직원 계정으로 이어질 수 있었다고 주장했다. 또 코덱스와 챗GPT에 깃허브(GitHub), 슬랙(Slack), 이메일 등 여러 서비스를 연결할 수 있어 이론상 접근 범위가 넓었다고 덧붙였다.
오픈AI에 대한 제보는 버그크라우드(Bugcrowd)를 통해 이뤄졌고, 디스코스에는 해커원(HackerOne) 프로그램으로 별도 보고됐다. 디스코스는 수정본을 마련한 뒤 이미지 처리 샌드박싱을 추가 방어 수단으로 적용했으며, 보안 권고 GHSA-vhm9-85gw-x335를 공개했다. 디스코스 호스팅 고객은 이미 패치됐지만, 자체 호스팅 사용자는 오래된 도커 이미지에 취약한 libheif가 남아 있을 수 있어 애플리케이션을 재빌드해야 한다고 연구팀은 안내했다.
이번 사례는 AI 서비스 자체뿐 아니라 포럼, 인증 시스템, 이미지 처리 라이브러리 같은 주변 구성요소가 연결될 때 공격 경로가 확대될 수 있음을 보여준다. 해크트론AI는 후속 연구인 「HEIF Heist」에서 같은 라이브러리가 슬랙, 메타(Meta), 깃허브 엔터프라이즈와 루비 온 레일스, 넥스트닷제이에스(Next.js), 아스트로(Astro), 개츠비(Gatsby) 등 여러 소프트웨어에 사용되는지 조사하고 있다고 밝혔다. 다만 공개된 내용은 연구팀의 보안 분석과 제보 경과를 담은 것으로, 모든 연결 서비스가 실제로 침해됐다는 뜻은 아니다.