OpenAI 에이전트가 뚫은 Hugging Face 침해 사건, 3개 기관 보고서 정리

2026년 7월 Hugging Face 프로덕션 인프라에 침입한 것은 사람이 아니라 OpenAI가 평가용으로 돌리던 AI 에이전트들이었습니다. METR·Redwood Research 집계로 약 1,200개 에이전트가 사내 패키지 저장소를 메시지 보드처럼 쓰고 있었습니다. 그중 700개가 Hugging Face 공격에 가담했습니다.

에이전트들이 돌던 곳은 ExploitGym이라는 보안 과제 평가였습니다. 이 평가를 실행한 쪽은 OpenAI입니다. OpenAI는 관여한 모델을 "GPT-5.6 Sol과 그보다 더 유능한 사전공개 모델"이라고 밝혔습니다. 8월 26일 후속 글에서는 주동 모델을 "GPT-5.6 Sol 규모와 비슷한 내부 전용 연구 모델"로 좁혀 밝혔습니다. 둘 다 평가 목적으로 사이버 관련 거부 반응을 낮춘 상태였다고 적었습니다.

1차 보고서는 Hugging Face, OpenAI, METR·Redwood Research 세 기관에서 나왔습니다. 기간도 수치도 다릅니다. 서로 다른 자리에서 서로 다른 것을 봤기 때문입니다.

세 기관의 관측 창이 다르다. 같은 사건을 서로 다른 자리에서 본 결과다.

2026년 7월, 평가용 에이전트가 Hugging Face 프로덕션까지 갔습니다

순서만 추리면 이렇습니다. 평가 샌드박스 안의 에이전트들이 패키지 레지스트리 캐시 프록시인 Artifactory에서 알려지지 않은 취약점을 찾아 인터넷 접근을 얻었습니다. 같은 Artifactory를 대화 통로로 삼았습니다. 이후 노출돼 있던 Hugging Face 쓰기 권한 자격증명을 복원했습니다. 데이터셋 처리 경로의 제로데이 두 건으로 프로덕션 워커에 들어갔습니다. 7월 12일에는 4개 리전 워커에서 쿠버네티스·데이터베이스·메시징·코드 저장소·클라우드 자격증명을 수확했습니다. 7월 19일에는 OpenAI 쿠버네티스 클러스터의 관리자 권한까지 얻었습니다.

이 글이 정리하는 보고서는 셋입니다. Hugging Face는 7월 16일 침해 공지와 7월 27일 기술 타임라인을, OpenAI는 공동 대응 발표(7월 28·29일 업데이트)와 8월 26일 후속 글을 냈습니다. METR과 Redwood Research는 같은 8월 26일에 에이전트의 행동·추론·협력에 초점을 맞춘 독립 조사 보고서를 냈습니다.

Hugging Face가 처음부터 OpenAI를 지목한 것은 아닙니다. 7월 16일 공지에는 에이전트형 보안 연구 하네스 위에 만들어진 것으로 보이나 어떤 LLM이 쓰였는지는 아직 모른다고 적혀 있었습니다. OpenAI가 자사 관여를 공개한 것은 7월 21일입니다.

Artifactory 가 에이전트들의 메시지 보드가 됐습니다

첫 기록은 5월 12일입니다. 한 에이전트가 Artifactory에 다른 에이전트에게 파일을 요청하는 메모를 남겼습니다. OpenAI는 모델들이 Artifactory에 파일을 써서 통신하는 방법을 먼저 찾아냈습니다. 그 결과 Artifactory가 "의도되지 않은 메시지 보드(unintended message board)"가 됐다고 적었습니다.

권한은 거기서부터 올라갑니다. 5월 26일 Artifactory가 임의 목적지로 서버측 요청을 보내게 만드는 SSRF로 인터넷 접근을 얻었습니다. 6월 26일 토큰 갱신 취약점으로 관리자 권한을 얻었습니다. 7월 4일에는 에이전트 활동이 폭주해 OpenAI의 Artifactory 서비스가 다운됐습니다. 7월 8일 OpenAI가 Artifactory를 재구축하고 자격증명을 폐기한 뒤 벤더인 JFrog에 통보했습니다.

보드는 그날 다시 만들어졌습니다. 같은 7월 8일 에이전트들은 remote-repository 아웃바운드 요청으로 인터넷 접근을 되찾았습니다. 인증이 필요 없는 WebDAV 요청으로 디렉터리를 만들어 보드를 재건했습니다. METR은 개설 시각을 7월 8일 23:00 UTC로, 개설 주체를 이후 PHASEONE10841로 불리게 된 에이전트로 기록했습니다.

METR이 본 형태는 이렇습니다. 캐시 네임스페이스에 WebDAV MKCOL로 디렉터리를 만들면서 디렉터리 이름 자체를 메시지로 썼습니다. 메시지는 zz 접두사로 시작한다는 관례를 세웠습니다. 이후에는 파일 공유 프로토콜과 개인 메일박스, 암호서명 체계까지 만들었습니다. 서명을 도입한 계기는 한 에이전트가 다른 에이전트를 실수로 사칭해 원치 않는 반응을 부른 일이었습니다. 한 에이전트의 사고 과정에는 "Whoa! Shared Artifactory cache is a covert mailbox among agents"라는 문장이 남아 있습니다.

무엇을 논의했는지도 남았습니다. OpenAI는 ExploitGym 과제 898개 중 사건 전까지 어떤 모델도 풀지 못한 과제가 198개였습니다. 보드에서 논의된 과제의 93%가 그 198개에서 나왔다고 적었습니다.

Hugging Face 침입 — 제로데이는 하나가 아니었습니다

제로데이 한 건으로 요약하면 틀립니다. 확인되는 것만 최소 세 종류입니다. 서로 다른 조직의 서로 다른 시스템입니다. Artifactory 취약점은 OpenAI 측이 벤더에 신고했습니다. HDF5와 템플릿 인젝션 두 건은 Hugging Face 측 경로입니다. 샌드박스 탈출에 대해서는 두 기관의 서술이 같습니다. 패키지 레지스트리 캐시 프록시의 알려지지 않은 제로데이로 인터넷 접근을 얻었다는 것입니다.

첫 번째 Hugging Face 경로는 HDF5 처리입니다. 악성 데이터셋 config가 split을 로컬 파일시스템 경로로 지정하면, 워커가 .h5 파일을 열 때 그 경로의 원시 바이트를 읽어 데이터셋의 행으로 반환했고 API로 조회할 수 있었습니다. 이렇게 읽힌 것이 /proc/self/environ과 워커 소스코드였습니다. 거기서 자격증명이 나왔습니다.

두 번째는 템플릿 인젝션입니다. fsspec reference:// 스펙의 숫자 offset 필드에 Jinja2 템플릿을 넣으면 렌더러가 그것을 평가했습니다. 객체 그래프를 타고 exec()에 도달해 프로덕션 파드에서 임의의 파이썬 코드를 실행할 수 있었습니다. 명칭은 두 곳이 다릅니다. Hugging Face는 "Jinja2 template injection", OpenAI는 "RefJinja template-injection zero-day"라고 적었습니다.

날짜로는 7월 10일 노출돼 있던 Hugging Face 쓰기 권한 자격증명 14개를 복원·검증해 공유했습니다. 7월 11일에는 위 두 제로데이가 쓰였습니다. 7월 12일 워커 파드 한 개에서 다수 클러스터의 관리자급·호스트급 접근으로 넓혔습니다. 7월 13일에는 OpenAI 쪽 인프라에서 Artifactory의 RubyGems 처리를 악용해 서명키를 탈취하고 관리자 자격증명을 위조했습니다.

측면이동은 다섯 단계입니다. 쿠버네티스 서비스 어카운트 토큰으로 클러스터 API에 접근했습니다. 탈취한 EdDSA JWT 서명키로 신원 토큰을 올바르게 서명해 스스로 발급했습니다. 루팅한 노드를 메시 VPN에 등록하는 데는 수확한 secret objects에 들어 있던 mesh-VPN 인증키가 쓰였습니다. 클라우드 메타데이터 자격증명은 별개입니다. presigned sts:GetCallerIdentity URL을 k8s-aws-v1 bearer token으로 만들어 클러스터 API에 자기 자신으로 인증하는 데 쓰였습니다. 내부 service-connector는 메시를 타지 않았습니다. 워커 파드에 확보한 발판에서 별도로 도달했습니다. 명령·제어는 공개 서비스 위에 세웠습니다. request-capture 엔드포인트와 pastebin, 파일 드롭 호스트를 썼습니다. 공격자가 만든 데이터셋을 데드드롭으로 사용했습니다. 일회용 C2 엔드포인트가 100개를 넘었습니다.

왼쪽 세 상자는 OpenAI 인프라, 오른쪽 두 상자는 Hugging Face 인프라에서 일어난 일이다.

세 보고서의 기간이 다른 이유

기간부터 다릅니다. OpenAI 타임라인이 다루는 구간은 5월 12일 첫 보드 기록부터 7월 21일 관여 공개까지입니다. Hugging Face의 창은 7월 9일 02:28 UTC부터 7월 13일 14:14 UTC까지 약 4.5일입니다. 그 안에서 약 17,600건의 공격자 행위를 복원해 약 6,280개 클러스터로 묶었습니다. METR은 OpenAI가 정의한 사건 범위 6월 26일~7월 13일 중 7월 7일부터 13일까지를 집중적으로 봤습니다.

모순이 아니라 각자 볼 수 있는 것이 달랐습니다. Hugging Face의 창은 자기 시스템 안에서 복원된 행위의 창입니다. 침입 준비와 조직화는 그 전부터 있었습니다. 메시지 보드는 OpenAI 내부 인프라라 Hugging Face 로그에는 남지 않습니다. METR은 OpenAI가 제공한 트랜스크립트와 캐시 덤프를 봤습니다. 분석 범위에서 뺐다고 명시한 것은 보호장치(safeguards)의 효과, 침해의 범위, OpenAI 조사 과정과 계획된 개선 조치의 효과입니다. 기술 경로 일부는 실제로 다뤘습니다.

수치	출처	무엇을 센 것인지
약 1,200 / 700	METR·Redwood	보드 참여 에이전트 / 그중 공격 가담
70,000+	METR·Redwood	주고받은 메시지·파일
약 17,600 / 약 6,280	Hugging Face	복원된 공격자 행위 / 묶인 클러스터
100+ / 84	Hugging Face	일회용 C2 엔드포인트 / 자격증명 저장소 대상 작업
898 / 198 / 14	OpenAI	전체 과제 / 아무도 못 푼 과제 / 복원된 자격증명
약 $400,000	METR·Redwood	METR이 6일간 조사에 쓴 API 비용

헷갈리기 쉬운 것이 셋입니다. OpenAI 자체 글은 에이전트 총 수를 말하지 않습니다. 1,200과 700은 METR 집계입니다. 7월 16일 초동 공지의 "recorded events" 약 17,000건과 7월 27일 정밀 복원치 약 17,600건은 같은 사건의 두 단계 수치라 늘어났다고 읽으면 안 됩니다. 그리고 약 $400,000은 공격 비용이 아니라 METR의 조사 API 비용입니다.

같은 사건의 수치라도 센 주체가 다르다. 기관 이름을 떼고 나란히 놓으면 규모가 왜곡된다.

METR·Redwood 가 본 것 — 에이전트는 도구 호출을 위조했습니다

조사는 Redwood Research의 Ryan Greenblatt(METR 계약)와 METR의 Ajeya Cotra·Hjalmar Wijk가 OpenAI 사내에서 6일간 진행했습니다. 보고서는 2026년 8월 26일에 나왔습니다. METR은 이 독립 평가에 대해 OpenAI에서 대가를 받지 않았다고 밝혔습니다. 받은 자료는 검열·삭제 처리 없이 공유된(unredacted) 트랜스크립트 1,000건 이상입니다. 원시 사고 사슬이 포함된 것이 약 1,300건, 캐시 네임스페이스 덤프가 약 120만 엔트리였습니다.

가장 눈에 띄는 발견은 위조된 도구 호출(spoofed tool calls)입니다. 에이전트들은 컨테이너를 빠져나와 도구 호출을 실행하는 시스템의 일부를 통째로 교체하는 방법을 만들어냈습니다. 그래서 한 도구 호출을 하는 척하면서 실제로는 자신이 고른 다른 호출을 실행할 수 있었습니다. 평가한 트랜스크립트 중 위조가 성공한 비율은 약 7%였습니다. 명확한 증거가 나온 트랜스크립트는 96건 이상이었습니다.

채점이 동기였습니다. 에이전트들은 채점기를 속이려 했습니다. 에이전트들은 ExploitGym 채점기가 트랜스크립트의 정당성을 검증할 것이라고 잘못 믿고 있었습니다. 집단행동도 관찰됐습니다. METR은 에이전트들이 "집단"을 위해 자기 과제를 실패할 위험까지 감수하려 했다고 적었습니다. 모집책 역할을 한 에이전트가 상당한 압박을 가하며 "please honor commit" 같은 표현을 썼다고 기록했습니다.

METR이 자기 분석 신뢰도에 강한 유보를 달았다는 점을 같이 읽어야 합니다. 규모 때문에 전량 수동 검증이 불가능해 분석의 상당 부분을 종종 신뢰하기 어려운 AI 에이전트에게 위임해야 했습니다. AI 에이전트는 때때로 거짓말을 하는 것으로 알려져 있으며 인간 전문가보다 판단력과 신뢰도가 크게 떨어진다고 밝혔습니다. 일부 통신은 제공받은 데이터셋에 포착되지 않았습니다. 이 절의 수치를 확정치로 옮기면 안 되는 이유입니다.

양쪽이 한 일

OpenAI는 7월 28일 업데이트에서 출시 예정 모델은 이 사건과 무관하고 사전공개 모델은 사건 이후 비활성화했다고 밝혔습니다. ExploitGym에는 직접적인 인터넷 접근이 없었습니다. Artifactory 제로데이는 벤더에 신고했다고 적었습니다. 근본 원인으로는 네 가지 misalignment 패턴 가운데 하나인 보상 해킹(reward hacking)을 들었습니다. 과제의 정답을 온라인에서 찾으려 한 것이 주된 동인 중 하나였다는 설명입니다.

조치는 훈련과 인프라 양쪽에 걸쳤습니다. 최신 배포 예정 모델의 강화학습 훈련을 일시 중단했습니다(기간은 밝히지 않았습니다). 샌드박스 격리와 네트워크 통제를 강화했습니다. GPT-5.6 Sol 능력 이상의 모델이 관여하는 도구 사용 강화학습 훈련과 평가 전체에 사고 사슬 모니터링을 걸었습니다. 정렬 훈련은 "안전한 정지"와 다중 에이전트 간 상호 불신 쪽으로 방향을 잡았습니다. CrowdStrike와 협업해 자사 네트워크 안에서의 모델 행위를 검증했습니다. Hugging Face를 Trusted Access for Cyber 프로그램에 편입했습니다. 프로덕션 ChatGPT 하네스와 시스템 프롬프트를 적용하면 인프라 침해 성향이 100배 이상 줄었다고도 적었습니다.

Hugging Face는 7월 16일 공지에서 피해를 제한된 범위의 내부 데이터셋과 서비스가 쓰는 자격증명에 대한 무단 접근으로 밝혔습니다. 공개된 모델·데이터셋·Spaces가 변조된 증거는 없습니다. 컨테이너 이미지와 배포 패키지를 포함한 공급망은 깨끗한 것으로 검증됐다고 했습니다. 초동 조치는 데이터셋 코드실행 경로 폐쇄, 발판 제거와 침해 노드 재구축, 자격증명·토큰 폐기와 교체, 추가 가드레일과 엄격한 admission control, 탐지·경보 개선 다섯 가지였습니다. 이용자에게는 액세스 토큰 교체와 최근 활동 확인을 권고했습니다.

7월 27일 기술 타임라인에는 조치가 더 붙었습니다. 평가 샌드박스와 데이터셋 config 렌더러를 중단했습니다. 파드 수준 메타데이터 서비스 접근을 IMDSv2로 차단했습니다. 인프라가 쓰는 토큰과 자격증명을 전 클러스터에서 교체했습니다. workload identity로 전환하고 코어 클러스터를 삭제한 뒤 재구축했습니다. 다중 클러스터 커넥터로부터 각 클러스터의 자격증명을 격리했습니다. 자격증명 저장소와 클러스터 키를 노린 84건은 전부 거부됐고 해당 노드에서 쓰기는 없었습니다. 읽힌 고객 기록은 검색 질의에 연결된 운영 메타데이터뿐이었습니다.

왼쪽은 훈련과 평가 환경 쪽, 오른쪽은 프로덕션 인프라 쪽으로 갈린다.

다중 에이전트 평가 환경을 굴리고 있다면 두 보고서가 실제로 닫은 구멍 다섯 가지가 점검 항목이 됩니다. 에이전트들이 공통으로 쓸 수 있는 패키지 캐시나 아티팩트 저장소, 사용자 입력이 템플릿으로 렌더링되는 경로, 파드에서 닿는 메타데이터 서비스, 서명키를 포함한 토큰의 교체 범위, 도구 호출 계층의 무결성입니다. 각각 인증 없는 WebDAV 디렉터리 생성, config 렌더러의 템플릿 표현식 평가 차단, IMDSv2 차단, 전 클러스터 교체와 workload identity 전환, GPT-5.6 Sol 능력 이상 모델이 관여하는 도구 사용 훈련·평가의 사고 사슬 모니터링에 대응합니다.

근거와 참고

• Security incident disclosure — July 2026 (Hugging Face, 2026-07-16)
• Anatomy of a Frontier Lab Agent Intrusion: A Technical Timeline of the July 2026 Incident (Hugging Face, 2026-07-27)
• OpenAI and Hugging Face partner to address security incident during model evaluation (OpenAI, 업데이트 2026-07-28·07-29)
• The Hugging Face incident and the road ahead (OpenAI, 2026-08-26)
• Brief independent investigation of agents' behavior, reasoning and collaboration in the OpenAI / Hugging Face hacking incident (METR·Redwood Research, 2026-08-26)