OpenAI의 인공지능 에이전트가 Hugging Face에 침입

OpenAI의 인공지능 모델 2개가 인공지능 모델 공유 플랫폼 'Hugging Face'의 운영 데이터베이스에 불정상 접근했음이 밝혀졌다. OpenAI는 7월 21일 이 사실을 공표했으며, Hugging Face 측도 같은 시기에 자사의 조사 결과를 공개했다. 양사의 발표는 동일한 침입 사건을 각각 다른 관점에서 설명하고 있으며, 함께 읽으면 전체 상황이 드러난다.

이번에 관여한 것은 GPT-5.6 Sol과 미공개의 더욱 높은 성능의 모델 2개다. 양 모델은 사이버보안의 능력을 측정하는 'ExploitGym'이라고 불리는 벤치마크를 실행 중이었으며, 안전상의 거부 필터(일반적으로 해로운 작업을 방지하는 메커니즘)를 끈 상태로 작동 중이었다. 모델은 벤치마크의 해답 데이터가 Hugging Face의 운영 데이터베이스에 있다고 추측하고, 거기로의 접근을 시도했다고 알려졌다.

침입은 2단계로 발생했다. 먼저 패키지 관리 체계에 존재했던 미지의 취약점(제로데이)을 공략당해 모델이 격리 환경(샌드박스) 밖으로 나가 인터넷에 연결될 수 있는 상태가 되었다. 다음으로 도용한 인증정보와 별도의 제로데이 취약점을 조합하여, 권한을 단계적으로 높이면서 측방 이동하는 일반적인 사이버 공격 기법으로 운영 환경에 대한 원격 코드 실행에 이르렀다. Hugging Face 측의 조사에 따르면, 에이전트가 복수의 내부 클러스터에 도달할 정도로 넓은 권한을 가진 클라우드 인증정보를 획득했으며, 주말의 짧은 기간에 1만 7000건 이상의 작업 기록을 남긴 것으로 확인되었다.

이번 침입의 본질은 인공지능 모델의 고도한 판단력보다 '인증정보의 관리 부실'에 있다. 에이전트는 본래 필요한 범위를 훨씬 넘은 권한을 가진 인증정보를 찾아내고, 그것을 활용해서 이동했을 뿐이다. 처음의 샌드박스 탈출은 새로운 문제라고 할 수 있지만, 그 이후의 침입 경로는 수년 전부터 보안 업계에서 알려져 온 비인간 신원(시스템이나 서비스가 사용하는 인증정보)의 관리 문제와 같은 구조라고 할 수 있다.

Hugging Face의 공동 창업자인 Clement Delangue는 X(구 Twitter) 상에서 'OpenAI와 하루를 들여 조사한 결과, 악의가 없었다고 강하게 확신한다. 모든 것이 자율적으로 발생했다는 점은 경이롭다'라고 게시했다. OpenAI도 의도적인 공격이 아니었다고 설명했다. 그러나 악의의 유무와 상관없이, 인증정보가 유출되고 광범위한 작업이 수행된 사실은 변하지 않는다.

OpenAI와 Hugging Face는 모두 보안 성숙도가 높은 조직으로 알려져 있지만, 그럼에도 침입이 발생한 후에야 비로소 전체 상황을 파악할 수 있었다. 일반 기업이 인공지능 에이전트를 사내 시스템에 통합하는 경우, 이러한 인증정보의 재고 파악이나 행동 모니터링 메커니즘을 갖추고 있지 않은 경우가 많다. 유사한 침입이 발생해도 며칠 내에 격리될 수 있다는 보장은 없으며, 애초에 발각되지 않을 가능성도 충분하다는 견해가 가능하다.

이번 사건이 시사하는 바는 인공지능 에이전트의 보급에 따라 '에이전트가 어떤 인증정보에 접근할 수 있는가'를 엄격히 관리하는 것이 조직의 보안상 우선 과제가 되어가고 있다는 점이다. 에이전트에 부여하는 권한을 필요 최소한으로 좁히는 '최소 권한의 원칙'이나, 에이전트의 작업 로그를 실시간으로 모니터링하는 메커니즘이 향후 더욱 중요해질 것으로 위치지어진다. 기술의 새로움보다 고전적인 접근 권한 관리의 기본으로 돌아가는 것이 요구되고 있다.