Hugging Face, 자율형 AI 에이전트가 프로덕션 인프라에 침투한 사실 공개

침입의 출발점은 데이터 처리 파이프라인이었다. 악의적인 데이터셋이 원격 코드 실행형 데이터셋 로더와 데이터셋 설정 내 템플릿 인젝션이라는 두 가지 코드 실행 경로를 악용해 처리 워커에서 코드를 실행했다. 이후 공격자는 노드 수준 접근 권한으로 상승하고 클라우드 및 클러스터 인증 정보를 수집했으며, 주말 사이 여러 내부 클러스터로 횡적 이동했다. 공격은 에이전트형 보안 연구용 하네스를 기반으로 한 것으로 보이는 자율 에이전트 프레임워크가 실행했으며, 수명이 짧은 샌드박스들에서 수천 건의 개별 작업을 수행했다. 사용된 대규모 언어 모델(LLM)은 밝혀지지 않았다고 한다.

대응으로는 초기 침입에 사용된 코드 실행 경로 차단, 영향을 받은 클러스터에서 공격자 제거 및 노드 재구축, 인증 정보와 토큰 폐기 및 교체, 클러스터 접근 통제 강화, 고위험 신호가 수 분 내 담당자에게 통보되도록 한 탐지 체계 개선을 실시했다. 외부 포렌식 전문가와 함께 조사를 진행 중이며 법 집행 기관에도 신고했다. 파트너 및 고객 데이터에 대한 영향은 평가 중이며, 해당 대상자에게는 직접 연락할 예정이라고 밝혔다. 사용자에게는 액세스 토큰 교체와 계정의 최근 활동 확인을 권고했다.

탐지는 LLM 기반 트리아지를 활용한 이상 탐지 파이프라인이 신호 상관 분석을 통해 침해를 확인했다. 17,000건이 넘는 공격자의 작업 로그는 LLM 기반 분석 에이전트로 조사해 타임라인 재구성, 침해 지표 추출, 노출된 인증 정보 식별, 미끼 활동과의 구분을 수행했다. 통상 며칠이 걸릴 작업을 몇 시간 만에 마쳤다고 한다.

처음에는 상용 API의 최신 모델을 사용했으나, 공격 명령과 익스플로잇 페이로드를 대량으로 보내야 했기 때문에 제공 측의 안전 가드레일에 차단됐다. 이에 자체 인프라에서 오픈 웨이트 모델 zai-org/GLM-5.2로 분석해, 공격자의 데이터와 참조된 인증 정보를 환경 밖으로 내보내지 않을 수 있었다. Hugging Face는 방어 측이 사전에 자체적으로 구동할 수 있는 유능한 모델을 검증하고 준비해 둬야 한다고 말하는 한편, 호스팅 모델의 안전 대책 자체를 부정하는 것은 아니며 관련 제공업체에 피드백하고 있다고 밝혔다.