오픈AI, 보안 기업 핵트론과 취약점 탐색 제휴

오픈AI가 11월 6일 보안 기업 핵트론(Hacktron)과 자사 시스템의 취약점을 찾는 제휴를 맺었다고 발표했다. 오픈AI 엔지니어와 핵트론 보안 연구원이 시험할 우선 영역을 함께 고르고, 오픈AI 시스템이 외부 서비스와 맞물리는 지점을 집중해서 들여다본다. 오픈AI는 이번 제휴의 하나로 데이브레이크 레드(Daybreak Red)를 통해 핵트론이 프런티어 모델을 쓸 수 있는 범위를 넓힌다고 밝혔다. 이번 취약점 탐색 제휴는 오픈AI가 이번 주에만 세 번째로 내놓은 자사 보안 조치다.

메탈은 오픈AI가 캐시드럴 연구진과 보안 스프린트를 준비하고 버그 바운티 보상을 올린 소식을 보도한 바 있다. 오픈AI는 발표문에서 프런티어 AI로 사이버 방어를 앞당기는 만큼 자사 시스템의 취약점을 찾아 고치는 일에도 같은 속도를 낸다고 설명했다. 이번 주 초 캐시드럴 연구진이 다음 보안 스프린트에 합류한다고 알렸고, 내부 시험이 놓친 취약점을 독립 연구자가 더 적극적으로 찾도록 버그 바운티 보상도 올렸다.

두 회사의 인연은 버그 바운티에서 시작됐다. 오픈AI는 보안 버그 바운티 프로그램으로 핵트론을 알게 됐고, 핵트론 연구원들이 찾아 신고한 취약점의 파급력에 깊은 인상을 받았다고 밝혔다. 핵트론은 코드 리뷰와 침투 테스트, 레드팀 작업을 하는 AI 에이전트를 만드는 회사로, 애플리케이션과 클라우드 인프라, 신원 시스템이 서로 맞물리는 지점에서 취약점을 찾아 왔다.

메탈이 확인한 핵트론의 연구 글은 그 신고가 어떤 것이었는지 보여 준다. 핵트론은 2026년 7월 25일 치명적 취약점 두 개를 엮어 오픈AI 직원 여러 명의 챗GPT 계정을 장악했다고 밝혔다. 첫째는 오픈AI 커뮤니티 포럼이 쓰는 디스코스(Discourse)의 이미지 업로드 경로에 있던 libheif 라이브러리의 힙 버퍼 오버플로였고, 둘째는 오픈AI 싱글 사인온(SSO)의 설정 오류였다. 포럼은 auth.openai.com 을 거치는 오픈AI 계정 로그인을 허용했고, 이 신원 흐름이 포럼 장악을 챗GPT와 코덱스 계정 탈취로 이어 줬다.

핵트론에 따르면 버그를 찾은 뒤 오픈AI 내부 저장소에 닿기까지 72시간이 걸리지 않았다. 연구진은 7월 23일 디스코스의 HEIF 업로드 경로를 이미지매직을 거쳐 libheif 까지 추적해 결함을 찾았고, 7월 24일 Opus 4.8 로 주소 공간 배치 난수화(ASLR)를 끈 상태에서 첫 코드 실행 익스플로잇을 만들었다. 그날 저녁 앤스로픽이 Claude Opus 5 를 내놓자 새 세션에서 ASLR 을 켠 상태에서도 통하는 익스플로잇을 완성했고, 7월 25일 자체 시험용 디스코스 클라우드를 거쳐 오픈AI 포럼에서 원격 코드 실행에 성공했다.

연구진은 민감한 내부 코드를 읽지 않고 접근 사실만 증명하려고, 코덱스가 오픈AI 깃허브 조직에 연결된 한 직원의 계정으로 내부 모노레포에 무해한 풀 리퀘스트 1186742번을 열게 한 뒤 시험을 멈췄다. 신고는 버그크라우드의 오픈AI 프로그램으로 들어갔고, 오픈AI는 첫 신고 약 14시간 뒤 수정을 확인했다. 디스코스는 신고 이틀 뒤 수정본을 내고 이미지 처리에 샌드박스를 더했다. 핵트론은 이 권한 상승 결함이 디스코스에만 해당하지 않는다며, 오픈AI SSO 를 쓰는 다른 자사·외부 서비스가 뚫려도 같은 접근이 가능했다고 설명했다.

보상과 범위의 선도 이 사례에서 드러났다. 핵트론이 공개한 일지에 따르면 오픈AI는 9월 1일 6,500달러의 바운티를 지급하며 "디스코스가 호스팅하는 community.openai.com 에 대한 시험은 버그 바운티 프로그램에서 명시적으로 제외돼 있었다"고 적었다. 오픈AI는 이어 "이번 보상은 오픈AI 쪽 발견을 인정하는 것이지 디스코스를 상대로 한 행위를 인정하는 것이 아니다"라고 밝혔다. 범위 밖 시스템을 디딤돌 삼아 범위 안 결함을 증명한 연구를 어떻게 대우할지는 바운티 규정만으로 정리되지 않는 문제다. 이번 제휴는 시험 영역을 양쪽이 미리 함께 고르는 방식으로 그 경계를 계약 안에 들여놓았다.

데이브레이크 레드는 오픈AI가 8월 10일 공개한 사이버 방어 프로그램의 상위 등급이다. 보도에 따르면 레드는 승인된 취약점 연구와 익스플로잇 검증, 보안 시험을 위해 사이버 보안용으로 학습한 모델을 쓰는 등급이고, 대부분의 방어 조직에는 안전장치를 붙인 범용 프런티어 모델 등급인 블루가 출발점으로 권장된다. 두 등급 모두 승인된 개인과 조직만 쓸 수 있고 신원 확인, 계정 보안, 모니터링, 용도 제한, 법적 서약을 거친다.

자인 장(Zayne Zhang) 핵트론 최고경영자(CEO)는 "사이버 보안의 미래는 누가 가장 큰 보안팀을 가졌느냐가 아니라 누가 인간의 창의성과 AI 기반 역량을 가장 잘 결합하느냐로 정해질 것"이라고 말했다. 그는 "오픈AI는 프런티어 사이버 모델을 보안 연구자의 손에 쥐여 줘 서로 연결된 시스템의 경계에서 복잡한 취약점을 찾게 하는 좋은 본보기를 보이고 있다"고 덧붙였다.

핵트론은 공격 비용도 숫자로 남겼다. 디스코스와 오픈AI 해킹은 에이전트에게 며칠, 사람에게는 몇 시간이 들었다. 슬랙과 메타 등을 겨눈 HEIF 하이스트(HEIF Heist) 연구 전체는 연구원 세 명이 두 달 동안 진행했고 토큰 비용은 모두 3,000달러가 안 됐다. 새 회사에 익스플로잇을 맞추는 데는 보통 하루이틀이 걸렸고, 수천 장의 이미지를 보내는 동안 활동을 탐지한 회사는 쇼피파이뿐이었다고 핵트론은 밝혔다. 다만 완전 자율 해킹은 아니었고 숙련된 사람의 지도가 여전히 중요했다고 덧붙였다.

핵트론은 버그를 믿을 만한 익스플로잇으로 바꾸려면 드문 전문성과 긴 시간이 필요했던 시절의 보호막을 AI가 걷어 내고 있다고 진단했다. 오픈AI가 외부 서비스와의 연결부를 그 연구진에게 맡긴 것은 에이전트가 서비스를 새로 이어 붙일수록 약점이 그 이음매에 생긴다는 판단이다. 오픈AI는 핵트론과의 시험에서 배운 것을 방어 강화에 쓰겠다고 밝혔다.