7월 23일부터 25일까지 72시간이 안 걸린 일이에요. 오픈AI 커뮤니티 포럼(Discourse)이 이미지 변환에 쓰는 libheif 의 힙 오버플로(수정은 있었지만 보안 수정으로 표시되지 않아 데비안에 백포트되지 않았고 당시 CVE 도 없던 결함)로 원격 코드 실행을 얻은 뒤, 오픈AI SSO 설정 결함으로 직원 여러 명의 챗GPT·코덱스 계정을 넘겨받아 직원 코덱스에 연결된 깃허브로 내부 모노레포 openai/openai 에 PR 을 열었어요. 오푸스 4.8 은 ASLR 이 켜진 상태에서 여러 세션을 돌려도 동작하는 익스플로잇을 못 만들었는데 7월 24일 저녁에 나온 오푸스 5 는 몇 시간 만에 ARM64 익스플로잇을 만들었고, 연구팀은 자기들 Discourse 인스턴스를 CTF 처럼 보이는 주소로 프록시해 모델이 원격 대상 익스플로잇을 거부하지 않게 한 뒤 /goal 자율 루프를 돌렸다고 적었어요. 다만 완전 자율은 아니었고 사람의 지도가 중요했다고 스스로 밝혔고, 오픈AI 는 9월 18일 언론에 커뮤니티 로그인 토큰 권한을 좁히고 영향받은 토큰·세션을 폐기했다고 밝혔으며 6,500달러 포상금은 포럼이 아니라 오픈AI 쪽 결함에 준 것이라고 했어요.
- SSO
- 한 번 로그인으로 여러 서비스에 들어가는 통합 인증(Single Sign-On)
- ASLR
- 메모리 배치를 무작위로 바꿔 익스플로잇을 어렵게 하는 운영체제 보호 기능
- CTF
- 해킹 문제를 푸는 보안 경연(Capture The Flag), 연습용 대상이라는 뜻으로 쓰임
- PR
- 코드 변경을 저장소에 합쳐 달라는 요청(Pull Request)
- CVE
- 공개된 보안 취약점에 붙는 공식 식별 번호
코덱스·클로드 코드 같은 에이전트에 붙여 둔 깃허브·슬랙·메일 연동은 계정 하나가 넘어가면 그대로 열리니 연동 토큰 범위를 최소로 두고, 이미지 업로드는 배포판 패치를 믿지 말고 디코더를 별도 샌드박스에서 돌리세요. 모델의 거부는 대상을 CTF 처럼 보이게 하는 것만으로 넘어갔으니 안전장치를 방어 수단으로 계산에 넣지 마세요.
- 오픈AI 공식 반응 오픈AI 는 연구자에게 감사하며 커뮤니티 로그인 토큰의 권한을 좁히고 영향받은 토큰·세션을 폐기했다고 밝혔어요. VentureBeat
- 포상금 범위 해명과 앤트로픽 무응답 오픈AI 는 Discourse 포럼 자체는 버그바운티 범위 밖이었고 6,500달러는 오픈AI 쪽 결함에 준 것이라고 했고, 앤트로픽은 논평 요청에 답하지 않았어요. The Register
- 언론 보도 경위 월스트리트저널이 9월 17일 저녁 먼저 보도했고, 3인 팀이 오푸스 4.8 로는 실패하다 오푸스 5 로 몇 시간 만에 성공했다는 대목이 보도의 중심이에요. TechCrunch
- 해커뉴스 반응 6,500달러가 너무 적다는 논쟁, CTF 로 위장해 모델 안전장치를 넘긴 점, SSO 결함의 실제 원인이 설명되지 않았다는 지적이 나왔고 Discourse 공동창업자는 외부 실행 파일을 landlock 샌드박스로 옮겼다고 답했어요. Hacker News
- 더 넓은 캠페인 HEIF Heist 같은 팀이 두 달간 3,000달러 미만의 토큰으로 슬랙·메타·깃허브 엔터프라이즈(CVE-2026-19118)·Next.js 까지 같은 디코더 계열 결함을 찾았고, 여기에는 오푸스 5 와 GPT-5.6 Sol 을 함께 썼다고 적었어요. CyberScoop