연구진, 취약점 2개 연결해 오픈AI 직원 계정·내부 저장소 접근

신고 뒤 하루 만에 끝난 대응

오픈AI는 2026년 9월 1일 연구팀에 6500달러를 지급했다. 포럼 자체를 겨냥한 시험은 오픈AI 포상 제도가 다루는 대상이 아니었다. 오픈AI는 이번 포상이 디스코스를 대상으로 한 것이 아니라 오픈AI 측에서 발견된 문제에 대한 것이라고 같은 보도에서 밝혔다. 로그인 취약점의 세부 내용은 공개하지 않은 채 수정과 포상으로 발견 사실만 확인했다.

연구진 설명에 따르면 이들은 무해한 풀리퀘스트 한 건으로 접근을 입증한 뒤 작업을 멈췄다. 소스코드를 읽거나 바꾸거나 배포하지 않았고 고객 데이터도 건드리지 않았다는 것이 연구진의 주장이다. 깃허브·슬랙·이메일까지 범위가 넓어질 수 있었으나 실제로 쓰지는 않았다고도 했다.

로그인 공유가 남긴 틈

오픈AI 포럼은 다른 서비스와 공유되는 싱글사인온 방식을 썼다. 싱글사인온은 한 번 로그인하면 여러 서비스에 그대로 접근할 수 있게 해주는 방식이다. 같은 포럼 서버를 손에 넣은 연구진은 피해자가 아무 행동을 하지 않아도 오픈AI 직원인 이용자 계정에 들어갈 수 있었다. Hacktron은 원인을 포럼 소프트웨어가 아니라 오픈AI의 로그인·신원 체계로 지목했다.

수정본은 나왔지만 서버에는 없었다

같은 이 포럼은 디스코스로 운영되며 올라온 HEIC·HEIF 이미지는 이미지매직과 libheif를 거친다. 손댄 이미지는 libheif 결함을 통해 포럼 서버 메모리를 훼손할 수 있었다. 디스코스 권고문은 이를 공격자가 서버에서 코드를 실행할 수 있는 상태로 분류하고 위험도를 10점 만점에 8.8점으로 매겼으며 CVE-2026-32882로 관리했다. libheif 권고문과 국가 취약점 데이터베이스는 같은 번호를 소프트웨어 중단이나 인접 메모리 유출을 부를 수 있는 경계 밖 읽기로 기록했다. 연구진은 새어 나온 메모리가 도움이 됐고, AI의 도움으로 메모리 결함 여러 개를 엮어 포럼 서버에서 코드를 실행했다고 밝혔다.

상류 프로젝트는 2026년 5월 libheif 1.22.0에서 결함을 고쳤다. 그러나 연구진이 2026년 7월 살펴본 데비안 12 기반 포럼 서버 이미지에는 수정이 반영되지 않은 libheif 1.19.7이 들어 있었다고 당시 수정 사항과 CVE 번호는 이미 공개돼 있었으나 포럼이 쓰던 데비안 패키지에는 반영되지 않은 상태였다.

같은 디스코스가 호스팅하는 사이트는 이미 수정이 끝났고, 자체 운영용 수정 릴리스는 2026.7.0, 2026.6.1, 2026.5.2, 2026.1.6이다. 자체 운영 서버는 최신 이미지로 다시 만들어야 고쳐진 libheif가 적용되며, 웹 인터페이스만 갱신해서는 기존 라이브러리가 그대로 남을 수 있다는 안내도 함께 전해졌다.

남은 쟁점

The Next Web는 이번 두 취약점을 AI 자체의 취약점이 아니라 AI 산업보다 오래된 통상적인 웹 보안 결함 유형으로 평가했다. 같은 매체는 결함 유형 자체보다 발견부터 악용까지 걸린 시간이 짧아진 점과 패치 적용 기간을 핵심 쟁점으로 봤다. 연구진이 더 새로운 클로드 모델로 바꾼 뒤 몇 시간 안에 작동하는 익스플로잇을 확보했다는 내용도 같은 매체가 전했다.