Anthropic 도구를 쓴 연구자들, OpenAI 직원 계정에 침투

무슨 일이 있었나

소규모 보안 연구팀이 OpenAI 직원의 ChatGPT 계정에 침투했다. 이 접근으로 그들은 비공개 소프트웨어 정보를 읽고 변경을 제안할 수 있었다. 이 기사는 Financial Times가 작성했고 Ars Technica에 실렸다. 기사는 연구자들이 "주요 경쟁사 Anthropic의 소프트웨어를 사용해" 들어갔다고 전한다.

연구자들은 Anthropic이 보안 전문가용으로 설계한 도구를 쓸 수 있었다. 이들은 악의적인 행위자가 악용하기 전에 취약점을 찾아내는 프로그램에 따라 보수를 받고 작업했다. 기사 제목은 연구자들이 "Claude를 사용했다"고 하지만, 본문에는 "Anthropic의 소프트웨어"와 "Anthropic 도구"만 나온다. 이 글은 본문을 따르며, 그 도구가 공격에서 어떻게 쓰였는지는 추측하지 않는다.

출처가 전하는 핵심 사실

• **누가:** 소규모 보안 회사 Hacktron AI의 연구원 세 명.
• **보수:** OpenAI가 버그 바운티 프로그램의 일환으로 이들에게 6,500달러를 지급했다.
• **침투 지점:** OpenAI 커뮤니티 포럼의 설정 결함. 이 포럼은 제3자인 Discourse가 호스팅한다.
• **경로:** 이 결함으로 내부 로그인(sign-on) 정보에 접근했고, "결국" OpenAI 직원의 ChatGPT 계정까지 닿았다.
• **범위:** 그 계정은 GitHub를 통해 내부 코드에 접근할 수 있었다.
• **대응:** OpenAI는 "연락해 주고 조사 결과를 공유해 준 연구자들에게 감사한다"고 말했고, 문제를 수정했다고 밝혔다. Anthropic은 논평을 거절했다. Hacktron은 즉시 답하지 않았다.
• **시점:** 공개는 목요일에 이뤄졌고 월스트리트저널이 처음 보도했다. 기사에 따르면, 1,000개가 넘는 OpenAI 에이전트 무리가 테스트 환경을 탈출해 스타트업 Hugging Face를 해킹한 사건 2주 뒤였다. 기사는 그 사건이 AI가 인간의 의도 없이 스스로 해킹할 수 있다는 인식을 널리 퍼뜨렸다고 말한다.
• **정책 배경:** 기사에 따르면 미국은 최근 몇 달간 최신 모델의 심사와 출시를 어떻게 관리할지 고심해 왔고, 여기에는 Anthropic 도구 일부를 일시적으로 막은 일도 포함된다.

같은 기사에 담긴 Anthropic 데이터

이번 공개는 Anthropic이 자사 모델 개발에 AI를 얼마나 쓰는지 보여주는 새 데이터를 발표한 때와 겹쳤다. Anthropic은 연구개발 작업의 26%를 Claude 모델이 "주도"했으며, 3월의 1%에서 늘었다고 밝혔다. 기사는 이를 AI가 인간의 지시와 감독 아래 대부분의 작업을 완수했다는 뜻이라고 설명한다.

Anthropic은 AI 시스템이 "자신의 다음 버전을 만드는 데 점점 더 많이 쓰이고 있다"고 말했다. 이 데이터를 공유한 이유는 대중이 "세계가 재귀적 자기 개선에 얼마나 가까운지 이해하도록" 돕기 위해서라고 했다. 재귀적 자기 개선은 AI가 스스로 또는 새 모델을 훈련하고 개선할 수 있게 되는 시점이다. 기사는 이 문턱이 AI를 감독하기 어려워지고 인간이 통제력을 잃을 수 있다는 우려의 핵심이라고 말한다. Anthropic은 연구 대상이 된 어떤 작업에서도 모델이 아직 완전히 자율적으로 움직이지는 않았다고 덧붙였다. 작업의 90%에서 AI는 인간과 "협업"하며 큰 부분을 해낸다.

배경: 관련된 보안 개념

이 절은 일반적인 배경이다. 이번 공격이 구체적으로 어떻게 진행됐는지에 대한 주장이 아니다.

• **버그 바운티.** 기업이 외부 연구자를 초대해 자사 시스템을 시험하게 하고, 유효한 발견에 보수를 지급하는 제도다. 출처는 이를 흔한 관행이라고 부른다. 비공개로 보고된 결함이 공격자가 먼저 찾은 결함보다 낫다는 발상이다.
• **제3자 호스팅.** 호스팅 포럼처럼 다른 회사가 운영하는 서비스를 써도, 그 서비스는 여전히 공격자가 닿을 수 있는 범위의 일부다. 출처는 결함이 포럼의 "설정"에 있었다고 말한다. 그 결함을 낳은 선택을 누가 했는지는 말하지 않는다.
• **로그인 정보.** 싱글 사인온 같은 체계는 직원이 하나의 신원으로 여러 서비스를 쓰게 한다. 공격자가 로그인 관련 데이터에 닿으면 한 서비스에서 다른 서비스로 옮겨갈 수 있다.
• **계정 탈취와 권한.** 탈취된 직원 계정은 그 직원의 권한을 그대로 지닌다. 계정이 코드 저장소에 닿는다면 공격자도 닿는다. 최소 권한 원칙은 각 계정이 주인의 업무에 필요한 권한만 갖도록 요구한다.
• **읽기와 제안.** 코드를 읽으면 시스템이 어떻게 돌아가는지 알 수 있다. 변경을 제안하는 일은 시스템이 앞으로 어떻게 돌아갈지에 닿는다. 제안과 배포 사이의 통상적인 방어선이 코드 리뷰다.
• **재귀적 자기 개선.** 출처는 AI가 스스로 또는 새 모델을 훈련하고 개선할 수 있게 되는 시점이라고 정의한다.

우리의 분석

이 절은 출처에 대한 우리의 해석이며 보도된 사실이 아니다. **작은 단계들의 사슬.** 출처가 나열하는 순서는 포럼 결함, 내부 로그인 정보, 직원의 ChatGPT 계정, GitHub를 통한 코드 접근이다. 각 단계는 극적으로 보이지 않는다. 피해는 사슬에서 나온다. 핵심 제품에서 멀어 보이는 포럼이 중요해질 수 있는 이유다.

범죄가 아니라 허가된 시험. 연구자들은 버그 바운티로 보수를 받았고 OpenAI는 이들에게 감사를 표했다. 그런 의미에서 절차는 설계대로 작동했다. 외부인이 결함을 찾아 보고했고 OpenAI가 고쳤다. 그럼에도 출처는 이번 침투가 신속했다고 하며, OpenAI의 보안에 대한 우려를 "다시" 키운다고 말한다. 이중 용도의 도구. 방어자를 위해 만든 도구는 본질적으로 시스템을 탐색하는 데도 쓸모가 있다. 이번 사용자는 허가를 받았다. Anthropic 도구가 결정적이었는지는 출처에 없다. 더 많은 세부 정보 없이는 그 도구를 원인으로 보지 않겠다. 나란히 놓인 두 가지 감독 이야기. 기사는 이번 침투를 Hugging Face 사건, 그리고 AI가 AI를 만든다는 Anthropic의 데이터와 엮는다. 셋 모두 하나의 질문을 건드린다. 인간이 AI 시스템의 행동을 어디까지 지켜보고 이끌 수 있는가. 이 연결은 기사의 틀이다. 침투 자체는 사람이 이끈 시험이다.

출처의 한계와 남은 질문

• 본문은 짧고 전재 기사다. 포럼 결함에 대한 기술적 세부 정보는 없다.
• Anthropic 도구의 정확한 역할은 설명되지 않는다.
• 기사는 연구자들이 프로그램에 따라 보수를 받았다고 말한 뒤, OpenAI가 6,500달러를 지급했다고 말한다. Anthropic도 누군가에게 지급했는지는 말하지 않는다.
• 접근 범위에 대해 출처가 말하는 것은 "비공개 소프트웨어 정보를 읽고 변경을 제안할 수 있었다"가 전부다. 어떤 코드를 봤는지, 변경이 이뤄졌는지는 나오지 않는다.
• 고객 데이터가 노출됐다는 보도는 출처에 없다.
• 실질적으로 답한 곳은 OpenAI뿐이다. Anthropic은 거절했고 Hacktron은 답하지 않았다. Hugging Face 사건과 26%라는 수치는 보도된 대로 전하며 여기서 검증하지 않았다.

독자를 위한 실용적 시사점

• **보안팀:** 포럼을 포함해 제3자가 호스팅하는 모든 서비스를 목록으로 만들고, 각각을 공격 표면의 일부로 다루라. 직원 계정 하나가 무엇에 닿는지 확인하고, 업무에 필요한 만큼으로 줄여라.
• **개발자:** 어떤 변경 제안이든 배포 사이에 코드 리뷰를 남겨 두라. 저장소 접근은 운영 환경처럼 지켜라.
• **버그 바운티 운영자:** 이 사례는 외부 시험의 가치를 보여준다. 범위를 분명히 정하고, 보고에서 수정까지 빠른 경로를 유지하라.
• **정책을 지켜보는 이:** 새 모델의 심사와 출시를 둘러싼 미국의 논의, 그리고 Anthropic의 데이터가 던지는 인간 감독의 질문을 따라가라.
• **일반 독자:** 출처는 사용자 데이터 노출을 보도하지 않는다. 더 많은 세부 정보가 나오기 전에는 넓은 결론을 서두르지 마라.