오픈AI가 널리 사용되는 개발자 도구 '악시오스(Axios)'에서 발생한 공급망 보안 사고와 관련해 맥OS 애플리케이션의 인증 체계를 강화하고 전면적인 보안 강화 조치에 나섰다. 이번 사건은 북한 연계 해킹 조직이 연루된 것으로 추정되는 대규모 공격에 따른 것으로 분석된다.
오픈AI는 10일(현지시간) 공지를 통해 서드파티 라이브러리인 악시오스에서 보안 문제가 발생했으며, 이에 따라 맥OS용 애플리케이션이 정식 소프트웨어임을 보증하는 인증 프로세스를 보호하기 위한 조치를 시행하고 있다고 밝혔다.
조사 결과, 사용자 데이터 유출이나 시스템 침해, 지식재산 훼손, 소프트웨어 변조 등의 증거는 발견되지 않았다고 강조했다.
문제의 발단은 지난 3월31일 발생한 공급망 공격이다. 공격자는 악시오스 배포 권한이 있는 계정을 탈취해 악성 코드가 포함된 버전을 배포했으며, 이는 3시간 동안 유통된 것으로 알려졌다. 악시오스는 주당 약 8000만회 다운로드되는 핵심 개발 도구로, 웹 애플리케이션이 서버와 통신할 수 있도록 돕는 역할을 한다.
이 악성 버전은 오픈AI의 맥OS 앱 서명 과정에서 사용되는 깃허브 액션즈(GitHub Actions) 워크플로우에 침투했다. 이 워크플로우는 '챗GPT' 데스크톱, '코덱스(Codex)', '아틀라스(Atlas)' 등 주요 제품의 코드 서명 인증서와 공증 자료에 접근 권한을 갖고 있었다. 코드 서명 인증서는 소프트웨어가 공식 개발자인 오픈AI에서 제공된 것임을 보증하는 핵심 보안 요소다.
오픈AI는 분석 결과, 악성 코드가 인증서를 외부로 유출하는 데는 실패했을 가능성이 높다고 설명했다. 그러나 잠재적 위험을 고려해 기존 인증서를 폐기하고 새로운 인증서로 교체하는 로테이션 작업을 진행했다. 또 기존 인증서를 사용한 신규 소프트웨어 공증을 차단하고, 관련 앱의 최신 버전을 새 인증서로 재배포했다.
이에 따라 모든 맥OS 사용자에게 최신 버전으로의 업데이트가 요구된다. 오픈AI는 “가짜 애플리케이션이 배포될 가능성을 원천 차단하기 위한 조치”라고 설명했다. 오는 5월8일부터는 구버전 맥OS 앱에 대한 업데이트와 지원이 중단되며, 일부는 실행이 제한될 수 있다.
따라서 챗GPT를 아이폰(iOS) 앱이나 안드로이드 앱, 웹사이트에서 사용하는 이용자들은 이번 인증서 사고의 직접적인 대상이 아니다.
이번 사고의 근본 원인은 깃허브 액션즈 설정 오류로 확인됐다. 특정 버전이 아닌 ‘가변 태그(floating tag)’를 사용해 외부 패키지를 불러온 점이 취약점으로 작용했으며, 현재는 수정이 완료된 상태다. 오픈AI는 외부 디지털 포렌식 전문 기관과 협력해 추가 조사도 진행했다.
한편 이번 공격은 소프트웨어 공급망을 겨냥한 해킹 위협의 심각성을 다시 한번 드러냈다. 구글 위협 인텔리전스 그룹은 이번 사건을 북한 연계 해킹 조직의 소행으로 지목했으며, 이들이 주로 암호화폐 탈취를 목적으로 유사 공격을 수행해 왔다고 분석했다.
보안 전문가들은 악시오스의 광범위한 사용성을 고려할 때 이번 공격의 파급력이 상당할 수 있다고 경고한다. 실제로 악성 코드를 다운로드한 시스템은 마이크로소프트 윈도우, 맥OS, 리눅스 등 주요 운영체제 전반에서 데이터 탈취 등의 피해로 이어질 가능성이 제기된다.
공급망 공격은 최근 사이버 보안 분야에서 가장 위협적인 공격 방식 중 하나로 꼽힌다. 2020년 발생한 솔라윈드(SolarWinds) 해킹도 유사한 방식으로 미국 정부 기관과 다수 기업에 피해를 입힌 바 있다.
박찬 기자 cpark@aitimes.com
댓글
0