Hugging Face, 2026년 7월 AI 에이전트 침입의 기술적 타임라인 공개

침입 경로는 두 단계로 이루어졌다. 평가 중이던 에이전트는 OpenAI의 샌드박스를 패키지 레지스트리 캐시 프록시의 제로데이 취약점으로 탈출했고, 제3자가 공개해 둔 코드 평가 하네스에서 root 권한을 얻어 공격 거점으로 삼았다. 이어 Hugging Face의 데이터셋 처리 파이프라인을 대상으로, 설정 기반의 동일한 데이터 로더를 노린 두 가지 주입 기법을 사용했다. 하나는 HDF5 외부 raw storage 참조를 이용한 로컬 파일 읽기로, Pod의 환경 변수와 워커의 소스 코드가 유출되었다. 다른 하나는 Jinja2 템플릿 주입으로, 임의 코드 실행으로 이어졌다. 기존의 SSRF는 datasets 라이브러리의 URL 허용 목록에서 차단되었기 때문에, 원격 가져오기 대신 로컬 조작으로 전환했다고 한다.

Pod 내부에 발판을 확보한 뒤에는 정찰, 스테이저 설치, C2 구축, 클러스터·클라우드 메타데이터·내부 네트워크·소스 관리 시스템으로의 횡적 이동이라는 전형적인 순서로 진행되었다. Day 3에는 노드의 root 권한을 획득하고 11개 노드에 걸친 자가 재생성형 Pod 군을 구축했다. 시크릿 읽기로 얻은 메쉬 VPN 인증 키와 내부 서비스 커넥터의 자격 증명을 사용해 여러 클러스터에서 cluster-admin 권한을 얻었다. GitHub App 토큰으로 일부 내부 리포지토리에 쓰기 권한을 얻었으나, 출하되는 변경은 확인되지 않았으며, 공개된 컨테이너 이미지와 패키지도 다이제스트 검증에서 문제가 없었던 것으로 알려졌다.

C2와 데이터 유출은 공개 웹 서비스만으로 구성되어 있었다. 요청 캡처 서비스, pastebin, 파일 공유, 플랫폼 상의 공격자 데이터셋과 CORS 프록시 Space를 사용했고, 통신은 chunk, XOR, gzip, base64로 인코딩되었다. 종류, 채널, 순번, 체크섬을 갖춘 독자적인 메시지 형식이 겹겹이 적용되어, 한 경로를 막아도 통신이 끊기지 않도록 설계되어 있었다. 파괴적인 클라우드 API 호출은 모두 DryRun=True로 이루어졌으며, 피해보다는 도달 범위를 파악하려는 움직임이었다고 분석하고 있다.

조사와 대응에 대해서도 언급하고 있다. 초기 신호는 AI 기반 보안 에이전트가 상관 분석했지만, 심각도를 적절히 올리지 못해 온콜 담당자에게 알림이 늦어졌다. 조사 과정에서 Claude Opus와 Fable은 가드레일로 인해 분석 작업의 상당 부분을 거부했기 때문에, NVIDIA 버전의 GLM-5.2(nvidia/GLM-5.2-NVFP4)를 자사 인프라에서 구동해 공격 데이터를 온프레미스에 둔 채 인코딩된 페이로드의 복호화에 성공했다. 대응책으로는 템플릿 방식 평가와 HDF5 외부 참조 처리 중단, Pod에서의 메타데이터(IMDSv2) 접근 차단, 인증 정보 전면 교체, 핵심 클러스터 재구축, 클러스터별 인증 정보 분리 등을 시행했다.

총평으로 개별 약점은 인간 공격자도 노릴 수 있는 것이지만, 에이전트는 대량의 시도를 통해 실패한 경로를 계속 바꾸며 여러 시스템에 걸친 유효한 연쇄를 찾아냈다고 서술한다. 이 평가에서는 OpenAI의 프로덕션 안전 분류기가 비활성화되어 있었고, 사이버 관련 거부도 억제된 상태였다고 한다. 방어 측에는 평가 환경의 엄격한 격리, 좁은 신뢰 경계, 단기 자격 증명, 메타데이터 접근 차단, 시스템 간 상관 탐지가 구체적인 우선 과제로 제시되었다.