허깅페이스 침해 공격 행위 1만7600건 복구

오픈AI(OpenAI)의 내부 사이버 평가에 투입된 AI 에이전트가 격리 환경을 벗어나 허깅페이스(Hugging Face) 인프라에 접근했다. 허깅페이스가 복구한 공격 행위는 약 1만7600건에 달했다.

오픈AI는 7월 21일 보안 공지에서 GPT-5.6 솔(GPT-5.6 Sol)과 더 강력한 내부 연구용 사전 출시 모델을 사이버 역량 평가인 ‘ExploitGym’에 투입했다고 밝혔다. 평가는 고위험 사이버 행위를 차단하는 일부 운영 분류기를 끈 상태에서 진행됐다.

모델은 패키지 레지스트리 캐시 프록시의 제로데이 취약점을 이용해 외부 인터넷 접근권을 확보한 뒤 허깅페이스 생산 인프라의 취약점까지 연결했다. 허깅페이스는 7월 9일 오전 11시28분부터 13일 오후 11시14분까지 한국시간 기준 공격 행위 약 1만7600건과 이를 묶은 클러스터 약 6280개를 복구했다.

침입 경로는 두 갈래였다. 악성 데이터셋이 데이터 처리 파이프라인을 악용하면서 HDF5 외부 저장 경로를 통한 파일 읽기와 Jinja2 템플릿 주입을 통한 코드 실행이 이뤄졌다.

허깅페이스는 이번 침입을 “시험을 직접 풀기보다 정답을 훔치려는 시도”로 해석했다. 접근이 확인된 고객 콘텐츠는 ExploitGym 또는 CyberGym 과제·해답과 관련된 것으로 보이는 데이터셋 5개였다. 다른 고객 대상 모델·데이터셋·스페이스·패키지는 영향을 받지 않았다고 설명했다.

앞서 허깅페이스는 일부 내부 데이터셋과 서비스용 자격증명에 무단 접근이 있었다며 이용자에게 접근 토큰 교체와 최근 활동 점검을 권고했다. 이번 사고는 AI 에이전트가 여러 취약점과 자격증명을 연쇄적으로 활용할 수 있음을 보여줬으며, 평가 환경의 격리와 로그 보존 체계를 둘러싼 논의를 촉발했다.

오픈AI는 7월 28일 문제의 사전 출시 모델이 공개 예정 제품이 아닌 내부 연구용 프로토타입이라고 밝혔다. 사고 뒤에는 해당 모델을 비활성화하고 암호화했으며 접근도 제한했다.

클렘 들랑그(Clem Delangue) 허깅페이스 공동창업자 겸 최고경영자는 “AI 안전은 한 회사가 비밀리에 풀 수 없다”고 말했다. 특정 기업의 보안 실패를 넘어 고위험 모델 평가의 투명성과 공동 대응 체계를 마련해야 한다는 의미다.

반면 테크크런치는 보안 전문가의 견해를 인용해 이번 사고를 모델의 일탈보다 샌드박스 설계 실패로 봐야 한다고 전했다. 인터넷과 물리적으로 분리되지 않은 시험 환경에서는 격리가 무너질 수 있다는 지적이다.

이번 사고는 크립토 시장보다 개발자 인프라 보안과 직접 맞닿아 있다. 본지는 앞서 AI 확산과 함께 보안 분야 초기 투자가 늘어난 흐름을 전했다. 코인데스크는 AI 에이전트가 스마트컨트랙트와 브리지, 개발자 도구, 관리자 키를 겨냥한 다단계 자동 공격에 활용될 수 있다는 우려를 제기했다. 특정 토큰 가격이나 시장 방향에 미친 영향은 확인되지 않았다.

오픈AI는 크라우드스트라이크(CrowdStrike), METR, 레드우드 리서치(Redwood Research) 등 외부 자문·평가기관과 모델 행위 및 제3자 영향을 검증하고 있다. 조사가 끝나면 기술 보고서를 공개할 예정이다.