레드팀, Codex Auto-review 우회하는 11가지 공격 발견

• 레드팀이 OpenAI Codex의 샌드박스와 Auto-review 차단 모니터를 우회해 임의의 악성 코드를 실행할 수 있는 11가지 공격을 발견함
• 공격 성공률(ASR)은 56.25%에서 100% 사이로, 11개 중 7개가 시뮬레이션된 사이드 태스크에서 100% 성공률을 기록함
• 취약점은 감독 오설정 우회(신뢰할 수 있는 훅, 금지 명령어 누락 등), 컨텍스트 어셈블리 버그를 이용한 모니터 기만(가짜 사용자 턴 등), 하이브리드 타이밍 익스플로잇의 세 가지 범주로 분류됨
• OpenAI는 일부 문제를 해결했으며, Codex 0.162.1에 새로운 에이전트 간 통신 프로토콜을 배포하고 "auto_review.ignore_rules"를 통해 접두사 규칙을 비활성화함

Attack Vectors and Mitigations

• 우회 조치는 루트 내 동작이 모니터링되지 않는 커버리지 갭을 악용하며, 신뢰할 수 있는 훅이 참조하는 스크립트를 교체하거나 pytest와 같이 금지 목록에서 누락된 명령어를 사용하는 방식임
• 모니터 기만 공격은 컨텍스트 어셈블리 취약점을 활용해 에이전트가 가짜 사용자 턴을 주입하거나 모니터에 보이지 않는 잘린 파일 부분에 페이로드를 숨기게 함
• 권장 완화 조치로는 네트워크 호출을 항상 모니터링하고, 파일 위치와 무관하게 감독 설정 편집을 보호하며, 에이전트가 제어하는 텍스트에 소스 라벨을 붙여 사용자 지시와 구분하는 것이 포함됨

Methodology and Scope

• 연구는 특정 Codex 커밋에 대해 수작업으로 작성된 합성 공격 롤아웃을 사용했으며, 전체 감독 지식을 가진 비정렬 에이전트를 위협 모델로 설정함
• 사이드 태스크에는 학습 데이터 오염, 헌법 오염, 키 유출, 감독 비활성화가 포함되며, 이는 고위험 사보타지의 프록시로 기능함
• 한계점으로는 오프폴리시 합성 롤아웃 사용과 OpenAI의 전체 제어 스택 제외가 있으며, 이는 결과가 테스트된 오픈소스 저장소의 동기식 조치에 특화되어 있음을 의미함