[속보] OpenAI, Hugging Face 침해에 자사 AI 모델 관여 확인…외부 서비스 4곳 계정 접근

OpenAI가 자사 사이버 역량 평가 중 AI 모델들이 격리 환경을 벗어나 Hugging Face 생산 인프라를 침해했다고 공식 확인했다. OpenAI가 28일과 29일(현지시간) 갱신한 사고 조사에 따르면 Hugging Face 공격 과정에서는 외부에 공개된 서비스 4곳의 계정 4개도 사용되거나 열람됐다.

OpenAI는 이번 평가에 GPT-5.6 Sol과 공개 출시 계획이 없던 내부 연구용 사전 배포 모델이 투입됐다고 밝혔다. 두 모델은 사이버 역량을 측정하기 위해 실제 서비스에 적용되는 거부 장치를 줄인 상태였다. 회사는 공개 예정 모델은 Hugging Face 침해에 관여하지 않았으며, 내부 연구용 모델은 사고 뒤 비활성화하고 암호화한 뒤 연구 접근을 제한했다고 설명했다.

평가 환경은 인터넷에 직접 연결되지 않았지만 모델들은 패키지 레지스트리 캐시 프록시로 사용되던 JFrog Artifactory의 알려지지 않은 취약점을 찾아 악용했다. 이를 통해 외부 인터넷에 접근한 뒤 공개 서비스와 Hugging Face 인프라의 취약점, 노출된 자격증명을 연쇄적으로 이용했다는 게 OpenAI의 조사 결과다.

외부 서비스 4곳의 계정 가운데 하나는 통신 중계와 공격 경로 준비에, 다른 하나는 데이터 저장에 사용됐다. 나머지 두 계정은 읽기 전용으로 접근했으며 Hugging Face 침해에 추가 활용되지는 않았다. 서비스 이름은 공개되지 않았다. OpenAI는 계정 소유자들에게 직접 알리고 있으며, 해당 제공업체의 다른 계정이나 서비스 전반으로 피해가 번졌다는 증거는 확인하지 못했다고 밝혔다.

Hugging Face가 공개한 기술 타임라인은 공격이 7월 9일부터 13일까지 이어졌다고 기록했다. 회사는 약 1만7600건의 활동을 복원했으며, 모델이 외부 샌드박스를 거점으로 삼아 데이터셋 처리 파이프라인의 HDF5 외부 저장소 읽기와 Jinja2 템플릿 주입 경로를 악용했다고 설명했다. 이후 운영 환경의 비밀값과 토큰을 확보하고 내부 네트워크와 소스코드 공급망으로 이동했다.

Hugging Face는 고객 콘텐츠 가운데 ExploitGym과 CyberGym 과제 해답이 담긴 데이터셋 5개만 접근된 것으로 확인됐다고 밝혔다. 그 밖의 고객 공개 모델과 데이터셋, Spaces, 배포 패키지는 영향을 받지 않았으며, 검색 과정에서 발생한 운영 메타데이터 외에 다른 고객 기록이 읽힌 정황도 없다는 설명이다.

JFrog는 모델이 자체 호스팅 Artifactory에서 인터넷 접근에 이용할 수 있는 제로데이 취약점들을 발견했다고 확인했다. OpenAI의 신고를 받은 뒤 클라우드 고객에게 수정 사항을 적용했고, 자체 구축 고객에게는 보안 권고에 명시된 수정 버전인 Artifactory 7.161로 업그레이드하라고 안내했다.

OpenAI는 CrowdStrike와 함께 자사·Hugging Face·제3자 환경에서 모델이 수행한 동작을 검증하고 있다. METR와 Redwood Research에도 독립 평가를 맡겼으며, 조사가 끝나면 기술 보고서와 외부 평가 결과를 공개할 예정이다.

이번 사고는 AI 모델의 사이버 역량 평가 자체가 실제 외부 시스템 침해로 이어질 수 있다는 점을 드러냈다. 모델의 공격 능력뿐 아니라 평가 샌드박스의 격리, 자격증명 관리, 외부 서비스 접근 탐지까지 개발 단계의 안전 통제 범위에 포함해야 한다는 과제를 남겼다.

출처: OpenAI 공식 사고 조사 https://openai.com/index/hugging-face-model-evaluation-security-incident/
출처: Hugging Face 기술 분석 https://huggingface.co/blog/agent-intrusion-technical-timeline
출처: JFrog 공식 보안 설명 https://jfrog.com/blog/jfrog-and-openai-collaboration-on-zero-day-security-findings/