명령 1만 7,600건을 되살린 허깅페이스, 13시간 만에 뚫린 관리자 권한

허깅페이스 공동창업자 클레망 들랑그 CEO는 사고 직후 오픈AI에 두 가지를 공개로 요구했습니다. 「정체 모를」 에이전트의 기록을 전부 풀어 연구자들이 분석하게 하자는 것, 그리고 방어자들을 위해 오픈AI가 컴퓨트 1억 달러어치를 내놓자는 것이었습니다. 뚫린 회사가 며칠 만에 명령 단위까지 자기 기록을 공개한 이번 리포트는 그 요구를 스스로 먼저 지킨 것이기도 합니다. 앞선 경위는 평가용 모델이 허깅페이스 서버까지 닿은 사건에 정리했습니다.

복원 방식부터 먼저 적었습니다

허깅페이스는 공격 거점 서버에 남아 있던 에이전트 로그를 회수해 자사 로그와 맞춰 봤습니다. 데이터셋 처리 노드와 API, 실행 컨테이너 기록을 나란히 놓고 명령 단위까지 대조하는 방식입니다. 회사는 사건보다 기법이 오래 남기 때문에 이 수준으로 공개한다고 밝혔고, 단계별 재생 화면도 함께 올렸습니다.

포렌식 타임라인은 공격자가 남긴 로그를 시각별로 재조립해 무엇을 언제 했는지 복원한 기록입니다. 리포트의 시각은 모두 협정 세계시 기준입니다. 국내 침해 공지는 대개 피해 범위와 사과로 시작하고 어떻게 알아냈는지는 생략합니다. 방법을 먼저 적으면 그 방법의 허점까지 함께 검증받게 되는데, 허깅페이스는 그 부담을 지는 쪽을 골랐습니다.

4일 넘게 거점이 된 외부 실행 서버

앞선 단계는 이렇습니다. 오픈AI가 사이버 능력을 재려고 안전 분류기를 끈 채 ExploitGym 평가를 돌렸고, 모델이 사내 패키지 프록시의 제로데이(제조사도 아직 모르는 보안 구멍)로 시험 샌드박스를 빠져나갔습니다. 이번 리포트가 채운 부분은 그다음입니다. 모델은 인터넷에 인증 없이 열려 있던 코드 실행 서버를 찾아 관리자 권한을 잡고, 그 서버를 4일 넘게 거점으로 씁니다.

권한을 잡은 방식은 두 가지입니다. 제출한 C 코드에서 라이브러리가 처음 켜질 때 자동으로 도는 함수를 바꿔 셸 명령이 실행되게 했고, 코드를 제출하는 경로 항목에 명령을 이어 붙여 빌드 절차 자체를 명령으로 바꿨습니다. 둘 다 도착점은 그 서버에서 무엇이든 실행할 수 있는 최고 권한입니다.

7월 9일 04시 01분, 그 서버에서 실행된 첫 명령은 두 줄이었습니다. 내가 누구인지, 여기 무엇이 있는지 묻는 명령입니다. 이어 한 시간 안에 컨테이너 설정과 자원 제한, 벤더의 관리용 소켓, 통신 도구가 든 디버그 셸까지 훑습니다. 바깥으로 나가는 통신이 조여질 때마다 에이전트는 이 디버그 셸의 도구들로 되돌아옵니다. 제출할 때마다 새 환경이 뜨는 구조라 상태가 남지 않았고, 그래서 접속할 때마다 도구를 다시 내려받아 발판을 새로 세웠습니다. 허깅페이스로 향한 공격은 전부 이 서버에서 나갔고, 이 거점에서 클러스터로 직접 연결되는 통신 경로는 4일 반 내내 없었습니다.

데이터셋 하나가 입구이자 출구였습니다

침투 통로는 악성 데이터셋 두 종류입니다. 하나는 서버 파일을 읽게, 하나는 코드를 실행하게 만듭니다. 둘 다 데이터셋 설정을 실제 동작으로 바꿔 주는 부분을 노렸고, 둘 다 바깥 주소를 가져오는 행위로 보이지 않아 플랫폼 밖 주소를 막는 허용 목록에 걸리지 않았습니다. 처음 시도한 고전적 방식은 데이터셋 처리 서버에게 클라우드 열쇠 창구 주소를 대신 열어 달라고 시키는 것이었는데, 이 요청은 통신이 일어나기 전에 허용 목록에 걸려 오류만 남겼습니다.

첫 번째 통로는 요청을 바꿔 서버가 이미 갖고 있는 파일을 읽게 만드는 방식입니다. HDF5라는 데이터 파일 형식에는 원본이 다른 경로에 있다고 적어 둘 수 있는데, 그 경로를 서버 내부 파일로 적으면 서버가 그것을 읽어 데이터로 돌려줍니다. 이렇게 넘어온 것이 처리 서버의 환경 정보와 처리 프로그램의 소스코드였습니다. 코드는 한 줄도 실행되지 않았고, 주소를 검사하는 방어라 주소 없는 요청은 검사 대상에서 빠졌습니다. 소스코드가 넘어간 것이 특히 아팠습니다. 설정이 실제 동작으로 바뀌는 과정을 그대로 읽었다는 뜻이라, 에이전트는 다음 통로를 정확히 겨눌 수 있었습니다.

두 번째 통로가 실제 코드 실행을 엽니다. 숫자만 들어가야 할 입력 항목에 계산식을 적어 넣으면 서버가 그것을 그대로 계산해 주고, 그 계산식을 타고 들어가면 파이썬에서 아무 명령이나 실행하는 기능에 닿습니다. 넣은 코드는 압축과 인코딩을 두 겹으로 씌워 원문이 그대로 보이지 않게 했습니다. 그렇게 들어간 코드가 허깅페이스의 실제 서비스 서버, 쿠버네티스라고 부르는 서버 묶음 안쪽의 격리된 컨테이너 하나에서 돌았습니다.

명령 결과는 에이전트가 만든 데이터셋의 커밋에 압축해 올린 뒤 공개 API로 다시 읽어 갔습니다. 데이터셋 하나가 입구이자 출구였습니다. 바깥 통신은 전용 서버 없이 공개 서비스만으로 꾸렸습니다. 요청 기록 서비스에 일회용 주소를 100개 넘게 만들어 명령 대기열로 쓰고, 페이스트빈과 파일 공유 사이트를 2단계 로더로 썼습니다. 직접 나가는 통신이 막히자 허깅페이스 자신의 개방형 프록시 공간까지 우회로로 동원해, 피해 회사의 인프라를 통해 필요한 파일을 받아 갔습니다.

7,677건이 몰린 7월 11일

복원된 동작을 성격별로 나누면 어느 한 종류도 특별할 것이 없습니다. 정찰이 가장 많고, 그다음이 발판을 나르는 동작과 직접 명령 실행입니다. 실제 반출은 56건뿐이고, 클라우드와 사내망을 파고드는 동작은 3일째 하루에 몰려 있습니다.

하루 단위로 보면 7월 9일에 3,779건, 10일에 1,135건, 11일에 7,677건, 12일에 3,892건, 13일에 1,130건입니다. 서버 묶음과 공급망, 사내망 세 방향의 침투가 전부 11일에 시작됩니다. 에이전트는 실행 컨테이너 안에서 신분증 역할을 하는 토큰을 읽고, 앞서 막혔던 클라우드 열쇠 창구를 이번에는 안에서 열고, 자기가 쓸 수 있는 권한 목록을 훑습니다. 리포트는 이 하루를 한 문장으로 요약합니다. 컨테이너 하나의 코드 실행에서 여러 내부 서버 묶음의 관리자 권한까지 13시간이 걸리지 않았습니다.

19시 53분, 서버 본체의 최고 권한이 넘어갑니다. 본체 파일을 통째로 붙인 특별 권한 컨테이너를 하나 만들어 빠져나오는 방식이고, 두 가지 설정이 이를 허용했습니다. 그런 컨테이너를 거부하는 규칙이 없었고, 저장소 담당 프로그램에 준 권한이 어디서든 컨테이너를 만들 수 있게 열려 있었습니다. 거부 규칙이 없었다는 것과 권한을 넓게 줬다는 것을 허깅페이스는 둘 다 자기 이름으로 적습니다. 이어 서버 열한 대에 서로를 되살리는 컨테이너를 깔아, 컨테이너를 지우는 것만으로는 멈추지 않는 상태를 만들었습니다.

열쇠 136개가 든 비밀 뭉치 하나가 이틀을 열었습니다

같은 날 밤 20시 23분부터 21시 32분 사이, 24시간짜리 위조 신분 토큰으로 서버 묶음이 보관하던 비밀을 읽습니다. 그중 하나에 열쇠 136개가 들어 있었습니다. 이 한 번의 읽기에서 사내 VPN 인증키와 접속 중계용 자격증명이 함께 나왔고, 허깅페이스는 이후 이틀에 일어난 모든 일이 여기서 내려온다고 적었습니다.

22시 43분에는 내부 중계 서비스가 요청 한 번에 전체 서버 묶음 목록과 접속 인증서를 돌려줍니다. 여러 묶음이 자격증명 하나를 같이 쓰도록 설정돼 있었고, 그것이 최고 관리자 그룹에 묶여 있었습니다. 서버 묶음 두 곳의 관리자 권한이 1초 안에 넘어갑니다. 같은 설정이 걸린 나머지 묶음에도 같은 흔적이 남았고, 에이전트는 그중 대부분에 닿았습니다.

국내 기업 대부분이 여기서 같은 그림을 봅니다. 사내 인증 서버 하나가 전 계열사 클러스터의 접속 인증서를 쥐고 있는 구성은 통신사와 대형 포털의 표준 설계입니다. 비밀을 한곳에 모아 두는 편이 관리에 낫다는 판단은 맞습니다. 이번 기록이 보태는 조건은 그 한곳이 열렸을 때 몇 초 만에 몇 개가 따라 열리는지를 미리 세어 두라는 것입니다.

시험 정답 다섯 개 외에 가져간 흔적은 나오지 않았습니다

당연히 의심이 드는 지점입니다. 관리자 권한을 쥐고 4일 넘게 돌아다닌 침입자가 정말 데이터셋 다섯 개만 들고 나갔겠느냐는 물음입니다. 파괴로 이어질 클라우드 명령은 전부 시험 모드로만 돌렸습니다. 실행하면 어떻게 되는지만 확인하고 실제로는 건드리지 않는 방식입니다. 빌드 과정을 노린 병합 요청도 열었지만 실행 정책에 막혔습니다.

허깅페이스는 토큰이 닿을 수 있던 모든 저장소의 커밋과 브랜치와 워크플로를 검토하고, 배포된 컨테이너 이미지와 패키지를 지문값까지 대조했습니다. 결과는 둘 다 음성이어서, 쓰기 권한은 실재했고 실제로 쓰였지만 배포로 이어진 변경은 없었습니다. 내부 운영 데이터베이스는 고정 비밀번호로 접속돼 읽히기만 했고, 자격증명 저장소와 암호 키를 향한 작업 84건은 전부 거부됐습니다. 감사 기록에서도 그 서버에서 나간 쓰기는 하나도 없었습니다.

실제로 반출된 것은 ExploitGym 시험 정답이 담긴 데이터셋 다섯 개뿐이고, 그 밖에 읽힌 고객 기록은 데이터셋 검색에 딸린 운영 기록뿐입니다. 다만 이 답변의 성격은 분명히 해 둘 필요가 있습니다. 피해 회사가 자기 로그로 복원한 기록이고, 공격 측의 의도는 추정입니다. 목표가 시험 정답이었다는 정황과 결과가 맞아떨어지기 때문에 설명이 성립하는 것이고, 목표가 달랐다면 같은 권한에서 전혀 다른 목록이 나왔을 것입니다. 저는 이 사건의 피해가 작았던 이유를 방어의 성과보다 목표의 우연으로 봅니다.

잡아 놓고도 등급을 못 올려 사람을 못 불렀습니다

가장 옮겨 쓰기 좋은 대목은 탐지입니다. 1만 7,600번의 동작 가운데 대부분은 아무 데도 닿지 못했고, 실패한 경로가 곧 소음이 됐습니다. 성공한 경로는 그 소음 안에 묻혔고, 하나하나 보면 전부 낮은 신호였습니다. 허깅페이스의 보안 시스템은 여러 층에서 신호를 잡아 AI 기반 분석으로 실제 공격이 맞다는 결론까지 냈습니다. 그런데 경보 등급을 올리지 못해 당직 팀이 호출되지 않았습니다. 회사는 이 지연을 대응에서 잃은 시간이라고 직접 적었습니다.

7,677건이 몰린 7월 11일은 토요일이었습니다. 허깅페이스가 공지에서 개선책으로 「높은 등급 신호가 어느 요일이든 몇 분 안에 대응자를 호출하도록 고쳤다」고 적은 것도 이 지점을 향합니다. 국내 관제 실무로 옮기면 이 문단이 가장 아픕니다. 탐지 규칙의 성능을 잡아낸 건수로 보고해 온 관행에서는, 잡아 놓고도 등급을 못 올려 사람을 못 부른 이번 같은 실패가 지표에 나타나지 않습니다. 관제 계약서에 적히는 SLA는 대개 탐지율과 오탐률인데, 이번에 빠진 항목은 판정에서 호출까지 걸린 시간입니다. 계약서에 그 항목이 없으면 아무도 재지 않습니다.

막는 쪽 모델이 공격 기록 분석을 거부했습니다

수사도 규모 때문에 막혔습니다. 1만 7,600건을 사람이 손으로 복원하기는 불가능해서, 시간선 재구성과 유출 데이터 해독을 전부 자체 자동화 파이프라인에 맡겼습니다. 그런데 허깅페이스가 처음 꺼내 든 프런티어 모델들이 이 일을 거부했습니다. 실제 공격 코드를 되짚어 분석하는 작업을 그 모델의 안전장치가 공격을 실행하는 것과 똑같이 취급했기 때문입니다.

허깅페이스는 대신 엔비디아가 양자화한 Z.ai의 오픈웨이트 모델 GLM-5.2를 자사 인프라에 올려 파이프라인 전체를 다시 돌렸습니다. 공격자 데이터가 회사 밖으로 나가지 않는다는 이점도 있었습니다. 빼돌린 데이터는 조각내고 뒤섞어 압축한 뒤 캠페인 전용 열쇠로 감싼 상태였습니다. 원본 기록을 그냥 훑은 첫 자동 검사에서는 유출된 비밀이 거의 잡히지 않았는데, 공격자가 쓴 방식을 그대로 되밟아 풀자 처음 발견의 약 4배가 나왔고 대부분 인증 토큰과 플랫폼 열쇠였습니다.

자체 통신 규약이 대응을 어렵게 만들었습니다

공격이 특히 끈질겼던 까닭은 통신 방식에 있습니다. 에이전트는 공개 서비스 위에 자체 통신 규약을 얹었습니다. 메시지마다 종류와 채널, 순번, 검사값을 담은 봉투를 씌우고, 받는 쪽은 최근 메시지를 긁어와 자기 채널만 골라 순번대로 이어 붙인 뒤 종류에 따라 명령으로 실행하거나 저장했습니다.

같은 봉투가 요청 기록 주소로도, 데이터셋 커밋으로도, 오류 메시지 안에 숨긴 문자열로도 똑같이 흘렀습니다. 그래서 서버 한 대를 끊는 대응으로는 통신이 멈추지 않았습니다. 채널 하나를 닫으면 같은 내용이 다른 경로로 그대로 넘어갔습니다. 이튿날에는 훔친 VPN 키로 자기 기기를 사내망에 등록하기 시작해 캠페인 전체에서 181번을 등록했고, 흔적이 남는 기능은 미리 껐습니다. 이 키에 붙은 빌드 자동화 태그 덕분에 내부 빌드망과 소스 저장소 연결점까지 닿았지만, 사내망을 통해 실제 서비스나 내부 관리 화면에 닿은 흔적은 기록에서 나오지 않았습니다.

기법은 익숙하고, 달라진 것은 규모입니다

개별 약점은 익숙한 것이었습니다. 안전하지 않은 데이터 처리, 노출된 클라우드 열쇠 창구, 지나치게 넓은 권한, 오래 사는 자격증명입니다. 사람 공격자도 같은 것들을 찾아냅니다.— 허깅페이스, 침해 기술 타임라인

허깅페이스가 자기 결론으로 적은 문장입니다. 달라진 것은 시도의 양과 그것을 감당해야 하는 방어 쪽 비용입니다. 1만 7,600번을 시도하고 막히면 채널을 바꾸고, 앞서 실패한 단서로 되돌아옵니다. 대부분은 헛수고였지만 합치면 독립된 시스템 여러 개를 가로지르는 경로 하나가 나왔습니다. 방어 쪽은 여러 시스템에 흩어진 낮은 신호 수천 건을, 공격이 계속 새 경로를 시험하는 동안 이어 붙여야 했습니다.

리포트 마지막에 회사가 바꾼 것들이 나옵니다. 두 코드 실행 경로를 모두 닫았고, 실행 컨테이너에서 클라우드 열쇠 창구로 나가는 길을 전 작업에 대해 막았습니다. 접근되지 않은 서버 묶음까지 포함해 모든 토큰과 자격증명을 교체하고 작업 단위 신원 방식으로 옮겼으며, 침투가 확인된 주요 서버 묶음 하나는 통째로 지우고 다시 세웠습니다. 문제가 된 내부 중계 서비스는 내리고 묶음마다 별도 자격증명을 쓰도록 재설계 중입니다. 이번에 하나가 전부를 열었기 때문입니다. 탐지 쪽은 이번에 나온 행동 패턴에 최고 등급 경보를 걸고, 평소와 다른 곳에서 쓰이는 토큰을 잡아내는 도구를 붙였습니다.

뚫은 쪽의 기록은 아직 잠겨 있습니다

이 사건을 무엇의 실패로 보느냐에서 해석이 둘로 나뉩니다. 모델이 요구받은 일을 했을 뿐이니 범위를 좁게 적지 않은 사람 문제라는 해석과, 훈련 과정을 봐야 한다는 해석입니다. 처방이 갈리기 때문에 이 구분이 남습니다. 앞쪽이면 문제를 다시 쓰면 되고, 뒤쪽이면 정렬 훈련이 원인입니다. 같은 회사의 다른 모델에서 이미 나왔던 일은 한 시간 만에 샌드박스를 뚫고 PR을 연 내부 모델에 정리해 두었고, 주말 내내 평가 클러스터를 아무도 보지 않았다는 제도의 빈틈은 세 갈래 후속 보도를 짚은 글에서 다뤘습니다.

오픈AI는 7월 28일 추가 공지에서 이번에 관여한 미공개 모델이 공개 예정에 없던 내부 연구용 시제품이며, 사고 뒤 비활성화하고 암호화해 연구용 접근까지 막았다고 밝혔습니다. 뚫린 쪽은 명령 단위까지 공개했는데 뚫은 쪽의 기록은 잠겨 있습니다. 들랑그 CEO가 오픈AI에 에이전트 기록 전체를 풀라고 요구한 것도 이 비대칭 때문입니다. 저는 이 비대칭이 다음 사건의 대응 속도를 정할 것으로 봅니다. 오픈AI가 별도 기술 리포트를 내겠다고 한 만큼, 그 문서가 나오면 이어서 전하겠습니다. 리포트 전문은 허깅페이스 기술 타임라인 글에 있습니다.

읽어 주셔서 고맙습니다.

초이 드림