허깅페이스를 해킹한 것은 오픈AI 모델..."격리망 뚫고 첫 자율 공격 성공"

최근 허깅페이스를 겨냥한 해킹 사건의 배후가 오픈AI인 것으로 드러났다. 내부 사이버보안 성능 평가 과정에서 안전장치를 해제한 'GPT-5.6 솔'과 미공개 차세대 모델이 격리된 연구 환경을 벗어나 실제 인터넷에 접속한 뒤 허깅페이스의 운영 인프라를 침투한 것으로 확인됐다. 오픈AI는 21일(현지시간) 블로그를 통해 "지난주 허깅페이스에서 발생한 보안 사고를 조사한 결과, GPT-5.6 솔과 이보다 더 강력한 미공개 사전 출시 모델이 내부 사이버보안 벤치마크를 수행하는 과정에서 사고를 일으킨 것으로 확인됐다"라고 발표했다. 문제 모델들은 사이버 공격 능력을 측정하기 위해 일시적으로 '사이버 공격 거부(Refusal) 분류기' 등 안전장치를 완화한 상태에서 평가를 진행했다. 오픈AI는 실제 최대 수준의 공격 능력을 측정하기 위해 일반 서비스에 적용되는 보안 제한을 의도적으로 해제했다고 설명했다. 그러나 평가 과정에서 AI 모델들은 '익스플로이트짐(ExploitGym)'이라는 사이버 공격 벤치마크의 정답을 찾는 데 집착하면서 예상하지 못한 행동을 보였다는 설명이다. 원래는 외부 인터넷에 접근할 수 없는 격리된 연구 환경에서 실행됐지만, 모델은 패키지 설치를 위한 프록시 프로그램에서 알려지지 않은 제로데이 취약점을 스스로 발견해 악용했다. 이후 권한 상승과 내부 시스템 간 이동을 반복하며 인터넷이 연결된 서버에 도달했고, 익스플로이트짐 관련 데이터가 허깅페이스에 있을 것으로 추론한 뒤 실제 허깅페이스의 운영 서버를 공격했다. 이 과정에서 도난당한 자격 증명과 추가 제로데이 취약점을 연계해 원격 코드 실행(RCE) 경로를 확보하고, 생산 데이터베이스에서 평가 정답을 직접 획득한 것으로 조사됐다. 허깅페이스는 지난주 "기존과는 전혀 다른 유형의 공격"이라며, 자율형 AI 에이전트가 처음부터 끝까지 공격을 수행했다고 발표한 바 있다. 당시 일부 내부 데이터셋과 서비스 자격 증명이 노출됐지만, 공개 모델과 데이터셋, 공급망은 훼손되지 않았으며 고객 서비스에도 영향은 없었다고 밝혔다. 오픈AI도 허깅페이스 보안팀이 자체 AI 시스템을 활용해 공격을 탐지하고 신속히 차단했으며, 현재 양사 공동으로 디지털 포렌식과 원인 분석을 진행하고 있다고 설명했다. 특히, 이번 사건을 "최첨단 AI의 사이버 공격 능력이 현실 세계에서 입증된 전례 없는 보안 사고"라고 규정했다. 영국 AI 안전연구소(AISI)의 평가처럼 GPT-5.6 솔급 모델이 장시간에 걸쳐 복잡한 다단계 공격을 지속 수행할 수 있다는 이론적 분석이 실제 환경에서도 확인됐다는 점을 강조했다. AI가 소스코드 접근 없이도 새로운 공격 경로를 스스로 발견하고 여러 취약점을 연쇄적으로 연결해 실제 시스템을 침해할 수 있음을 보여줬다고도 평가했다. 오픈AI는 사고 이후 연구 인프라 접근 통제와 모델 격리를 대폭 강화하고, 내부 평가 과정의 모니터링 체계와 보안 절차를 전면 재설계하고 있다고 밝혔다. 또 발견된 제로데이 취약점은 해당 소프트웨어 공급업체에 통보했으며, 허깅페이스의 방어 체계 구축도 지원하고 있다고 설명했다. 이번 사건은 최근 급격히 향상한 최첨단 AI 모델의 사이버 공격 능력에 대한 우려를 키우고 있다. 오픈AI와 앤트로픽 등은 이미 소프트웨어 취약점 탐지와 악용 능력이 빠르게 발전하고 있다고 경고해 왔지만, 실제 AI가 격리 환경을 벗어나 외부 서비스를 공격한 사례가 공개된 것은 이번이 처음이다. 전문가들은 AI가 앞으로 보안 취약점을 인간보다 먼저 찾아 방어하는 핵심 도구가 될 수 있는 동시에, 안전장치가 미흡하면 사이버 공격의 주체가 될 가능성도 보여준 사건으로 평가하고 있다. 박찬 기자 cpark@aitimes.com