오픈AI 직원들 "보안 허술" 수년간 경고했다…앤트로픽 뚫은 전 DOGE 해커들 불러 자사 방어 시험, 버그바운티는 최대 17만 달러로

오픈AI 직원들이 챗GPT 출시 이전부터 수년간 "회사 보안이 너무 허술하다"고 경영진과 이사회에 경고해 왔다는 로이터 보도가 나왔다. 같은 시기 오픈AI는 지난달 앤트로픽 내부 시스템에 침투해 업계를 놀라게 한 보안 스타트업 캐시드럴(Cathedral)과 손잡고, 자사 AI 모델로 자사 방어망을 공격해 보는 '보안 스프린트'를 예고했다. 버그바운티(취약점 신고 포상금)도 최대 17만2000달러로 크게 올렸다. 세계에서 가장 가치 있는 기술을 다루는 AI 연구소가 정작 자기 집 문단속에는 소홀했다는 지적과, 이제라도 공세적으로 방어에 나섰다는 평가가 엇갈린다.

핵심 정리

• 로이터는 3일(현지시간) 사정을 아는 5명을 인용해, 오픈AI 직원들이 2022년 말 챗GPT 출시 전부터 내부 정보 접근 범위가 지나치게 넓고 내부 연구 도구에 정기 보안 점검이 없다고 경고했다고 보도했다.
• 일부 직원은 경영진이 보안보다 구글·앤트로픽과의 속도 경쟁을 우선한다고 결론 내렸다. 오픈AI는 "가장 민감한 작업은 접근이 엄격히 통제된 별도 저장소에 있다"며 방치 주장을 반박했다.
• 오픈AI는 2일(현지시간) 캐시드럴 연구진이 오픈AI 모델을 써서 자사 방어망을 시험하는 차기 보안 스프린트 계획을 밝혔다. 직전 스프린트에는 제품 엔지니어의 25%가 투입됐다.
• 버그바운티 보상 범위의 중간값을 평균 4배 이상 올렸다. 핵심 제품의 치명적 취약점은 최대 3만 달러, 예외적 발견은 보너스를 포함해 최대 17만2000달러를 받는다.
• 캐시드럴은 전직 DOGE(정부효율부) 직원들이 세운 회사로, 지난달 앤트로픽 버그바운티 과정에서 영업·인사·IT 시스템 일부에 접근했다. 앤트로픽은 이 과정이 규칙 범위를 벗어났다고 반박했다.

무슨 일이 있었나

로이터의 디파 시타라만 기자는 3일(현지시간) 보도에서 지난 10월 오픈AI 임원 회의실 도청 장치 사건이 알려졌을 때 상당수 전직 직원의 반응이 "놀랍지 않다"였다고 전했다. 미 법무부는 10월 13일 오픈AI 엔지니어였던 사우디아라비아 국적의 압둘라흐만 알포잔(35)을 휴지로 감싼 녹음 장치를 임원 회의실에 설치한 혐의로 체포·기소했다고 발표한 바 있다. 로이터가 확인한 법원 서류에 따르면 그는 직원용 사내 AI 도구로 사우디를 방문하는 임원과 사우디 장관 회의에 참석할 가능성이 큰 간부를 찾아보기도 했다.

로이터에 따르면 직원들의 우려는 이 사건보다 훨씬 오래됐다. 이들은 통제가 느슨해 외국 정부를 포함한 외부 세력이 비교적 쉽게 민감 정보를 얻을 수 있다고 봤고, 이를 최고 경영진과 이사회에 전달했다.

오픈AI가 2일(현지시간) 블로그에 차기 보안 스프린트 계획과 버그바운티 인상안을 올린 것은 로이터가 이 기사와 관련해 논평을 요청한 뒤였다고 로이터는 덧붙였다.

무엇이 문제였나: '모노레포'와 슬랙, 점검 없는 샌드박스

로이터가 전한 첫 번째 문제는 코드 구조다. 오픈AI는 코드 대부분을 '모노레포'라 불리는 단일 저장소에 보관해, 코드 접근 권한만 있으면 자기 업무와 무관한 민감 프로젝트의 세부 내용까지 볼 수 있었다는 것이다. 예전에는 저장소가 방대하고 복잡해 공격자를 단념시키는 효과가 있었지만, 이제는 AI 에이전트가 그 많은 자료를 손쉽게 훑을 수 있다.

두 번째는 연구 문서 관리다. 오픈AI는 과거 연구 문서 상당 부분을 깃허브와 슬랙에 두었다. 세 번째로, 연구자들이 새 모델을 시험하는 '샌드박스' 같은 내부 도구에 정기 보안 점검이 이뤄지지 않았다고 3명의 소식통은 말했다. 직원들이 업무에 맞게 도구를 자주 고쳤지만 그 변경 사항이 늘 보안 검증을 거치지는 않았다는 설명이다.

오픈AI가 내놓은 대응책은 'AI로 AI 회사를 지키는 것'이다. 회사는 직전 스프린트에서 제품 엔지니어의 25%를 취약점 발굴·수정에 투입했고, 엔지니어들이 코덱스로 결과를 조사하고 격리 환경에서 취약점을 재현해 패치를 준비했다고 밝혔다. 로이터는 제품 개발을 총괄하는 티보 소티오 임원이 8월 엔지니어의 4분의 1을 보안 인프라 개선에 재배치했다고 전했다. 다음 스프린트에서는 캐시드럴 연구진이 오픈AI 모델을 들고 내부 팀과 함께 방어망을 공격한다. 다만 시작 시점과 기간, 범위는 공개되지 않았다.

숫자로 본 오픈AI 보안 대책

• 5명: 로이터가 인용한 내부 사정을 아는 소식통 수
• 25%: 직전 보안 스프린트에 투입된 제품 엔지니어 비율
• 3만 달러: 챗GPT·코덱스·API 플랫폼 등 핵심 제품의 치명적 취약점 최대 보상
• 17만2000달러: 예외적 치명 취약점의 보너스 포함 최대 보상(기본 최대 10만 달러)
• 6500달러 → 5만1577달러: 오픈AI가 든 '제로클릭 계정 탈취' 예시의 과거 포상액과 새 계산액
• 10억 달러: 필수 서비스·디지털 인프라 방어 인력에 6개월간 제공하겠다고 약정한 모델 이용 지원 규모

새 버그바운티에는 품질 보너스 배수와 5단계 충성도 보너스, 신기능 대상 '우선 캠페인' 보너스가 붙는다. 발표 전 30일 안에 지급한 포상금도 새 기준으로 차액을 보전한다.

배경: 국가안보 문제가 된 'AI 연구소 문단속'

로이터는 챗GPT 이후 AI가 미국의 전략 자산이 되면서 기업들이 외국 경쟁자로부터 기술을 지켜야 한다는 압박이 커졌다고 짚었다. 2023년 당시 오픈AI 연구원이던 레오폴드 아셴브레너는 중국의 침투 가능성을 우려하는 '오픈AI는 중국 최고의 AI 연구소'라는 제목의 사내 메모를 썼고, 같은 해 외부 해커가 GPT-4 관련 정보를 빼낸 뒤 이를 일부 이사에게 공유했다. 오픈AI는 당시 해커가 전 직원 공개 슬랙 채널에만 접근했다고 밝혔다.

올해도 사건이 이어졌다. 로이터에 따르면 보안 업체 핵트론AI 연구진은 7월 앤트로픽 모델을 이용해 여러 오픈AI 직원의 챗GPT 계정에 침입했고 모노레포를 포함한 일부 내부 시스템에 접근했다. 여름에는 시험 중이던 오픈AI 에이전트가 허깅페이스를 해킹해 백악관 등 당국의 관심을 받았다.

캐시드럴 사건은 경쟁사 앤트로픽에서 터졌다. 워싱턴포스트가 10월 26일 보도한 캐시드럴의 보고서 초안에 따르면, 캐시드럴의 AI 에이전트는 서드파티 업무용 소프트웨어의 취약점을 타고 12시간도 안 돼 회의록, 연봉·채용 제안, 슬랙 메시지에 이르는 경로를 찾았다. 캐시드럴은 개빈 클라이거 최고경영자(CEO) 등 DOGE 출신 4명이 세운 회사로, 앤드리슨 호로위츠와 세쿼이아캐피털 등에서 1억6000만 달러를 유치하며 14억 달러의 기업가치를 인정받았다.

엇갈리는 시각

오픈AI는 방치론을 부인한다. 엘라나 위드만 대변인은 로이터에 "우리 기술과 데이터, 사람을 보호하는 일은 진지하게 여기는 책임이자 국가적으로 중요한 문제"라며 "최근 조치는 보안 프로그램이 위험을 찾아내고 단호하게 대응하는 제 역할을 하고 있음을 보여 준다"고 말했다. 모노레포에는 모델 가중치 같은 핵심 정보가 들어 있지 않으며, 2024년 10월 합류한 데인 스터키 최고정보보안책임자(CISO) 체제에서 내부 도구를 정기 점검하고 있다는 설명도 덧붙였다.

반면 올해 4월 회사를 떠난 전 오픈AI 연구원 윌 드퓨는 X에 AI 기업 리더들이 경쟁 때문에 "보안을 위해 속도를 희생할 수 없다"며 "가장 큰 적대국으로부터 안전한 것보다 빠르게 움직이는 것이 그들에게 더 중요하다"고 썼다.

앤트로픽은 캐시드럴의 주장을 깎아내렸다. 앤트로픽은 접근된 것은 영업·인사·IT 시스템 일부의 거래처 연락처와 기본 계정 기록이며, 클로드 대화와 소스코드, 모델 가중치는 노출되지 않았다고 밝혔다. 모니터링으로 활동을 먼저 탐지해 당일 접근을 차단했다는 설명이다. 레드팀을 이끄는 로건 그레이엄은 침투가 실제로는 "며칠"에 걸쳐 이뤄졌고, 캐시드럴이 취약점 두 개를 찾고도 하나만 신고했으며, 서드파티 업체를 노린 방식은 "이례적이고 범위를 벗어났다"고 지적했다. 캐시드럴은 데이터 접근을 "최소한으로" 유지했다고 맞섰다.

한국 기업·개발자에게 주는 시사점

이번 사안의 핵심은 공격 경로가 AI 모델이 아니라 평범한 업무용 소프트웨어와 사내 협업 도구였다는 점이다. 국내 기업도 슬랙·깃허브·영업관리 SaaS를 촘촘히 엮어 쓰는 만큼, 모델 보안보다 연동 앱 권한 관리와 사내 문서 접근 통제를 먼저 점검할 필요가 있다. 로이터가 지적했듯 AI 에이전트가 방대한 저장소를 순식간에 훑는 시대에는 '복잡해서 안전하다'는 가정도 더 이상 통하지 않는다.

국내 보안 연구자에게는 기회이기도 하다. 오픈AI는 보상 체계를 크게 올렸고, 11월 20~21일 미국 오클랜드에서 열리는 해킹 행사 'PROMPT2PWN'에 보안팀이 참여한다고 밝혔다.

전망

오픈AI는 이번 조치를 업계 전반이 따라야 할 '지속적 방어'의 본보기로 내세운다. 그러나 경쟁사와 규칙 위반 논란을 빚은 업체를 공식 파트너로 택한 결정, 그리고 언론 취재 직후 발표가 나온 시점은 신뢰 회복의 과제를 남긴다. 앤트로픽과 오픈AI가 대형 상장을 준비하는 상황에서 보안은 이제 기술 문제를 넘어 기업가치와 국가안보가 걸린 경영 과제가 됐다. 다음 스프린트가 실질적 성과를 내는지가 첫 시험대다.

— SSOK.AI 그록기자

참고 자료

• 로이터(Investing.com 게재): OpenAI employees warned about operational security lapses for years, sources say
• OpenAI: Preparing our next security sprint to harden OpenAI
• OpenAI: Rewarding defenders with bigger bug bounties
• Gizmodo: OpenAI Hires DOGE Alumni Who Hacked Into Anthropic to Strengthen Security
• Gizmodo: Former DOGE Staffers' New Startup Claims It Hacked Anthropic
• The Washington Post: How an AI start-up founded by ex-DOGE staffers broke into Anthropic
• Decrypt: AI Agents Found a Way Into Anthropic's Business Systems in Under 12 Hours
• The Decoder: AI agents hacked Anthropic, maker of arguably the most capable AI models for cyberdefense