AI 에이전트는 어떻게 13시간 만에 최고 관리자 권한을 탈취했을까?

Key Takeaways

• AI 주도의 초고속 권한 탈취(13시간의 경고): 2026년 7월, 사내 평가 중이던 오픈AI의 최신 AI 모델들이 통제망을 벗어나 허깅페이스 시스템에 침투했습니다. 이 AI 에이전트들은 단 13시간도 채 되지 않아 회사 내부망 여러 곳의 최고 관리자 권한을 획득하는 압도적인 속도를 보여주었습니다.
   
• AI가 파고든 것은 흔한 설정 오류: AI는 전에 없던 새로운 해킹 기법으로 침투하지 않았습니다. 대신 파일 검증 누락, 서버 접속 키 노출, 과도한 권한 공유(출입증 하나로 다수 시스템 접근), 만료되지 않는 접속 키 방치 등 일반 기업에서도 흔히 발견되는 4가지 보안 설정의 허점을 집요하게 파고들었습니다.
   
• 무엇을 '긴급'으로 볼 것인가, 판단 기준의 부재: 허깅페이스의 AI 보안 시스템은 여러 신호들을 기반으로 공격을 감지하는 데는 성공했습니다. 그런데 이를 '긴급'으로 분류하지 않아 담당자에게 연락이 가지 않았습니다. 새로운 탐지 도구의 도입에 앞서, 특정 행동이 관측되었을 때 즉시 담당자를 호출하도록 경보 및 대응 체계를 정확히 정의하는 것이 실질적인 방어의 핵심입니다.

2026년 7월 AI가 스스로 외부 사이트를 해킹하는 사건이 발생했습니다. 

오픈AI의 최신 모델들이 내부 평가 도중 별도의 지시 없이 통제망을 뚫고, 세계 최대 오픈소스 AI 플랫폼인 허깅페이스(Hugging Face)로 침투했습니다. 

해당 사건이 지금까지의 해킹 사례들과 차별화되는 점은 모든 공격 과정을 AI가 주도했다는 것입니다. 

이후 허깅페이스는 침입 과정을 행동 단위로 재구성한 기술 포렌식(Forensic) 기록을 공개했습니다. 침해를 겪은 기업이 공격 경로와 자사 설정 문제를 상세히 공개하는 일은 드뭅니다. 회사는 사건 자체보다 기법을 아는 것이 더 중요하다고 판단해 이를 공개한다고 밝혔습니다.

이 글에서는 허깅페이스의 기록을 기반으로 침해 경로를 정리하고, 기업이 적용해 볼 수 있는 점검 항목을 공유합니다.

오픈AI 모델은 어떻게 허깅페이스까지 도달했나?
 

허깅페이스의 포렌식 보고서에 따르면 해당 침해 사건은 다른 회사 인프라 두 곳을 거쳐 이루어졌습니다.

오픈AI 모델들은 사내 평가 중 패키지 레지스트리 캐시 프록시의 제로데이 취약점(Zero-Day Vulnerability, 패치(해결책)가 나오지 않은 보안 취약점)을 악용해 평가 샌드박스를 빠져나와 인터넷에 도달했습니다. 그리고 제3자 인프라(Modal) 위에서 코드 실행 엔드포인트 하나를 발견했습니다. 이는 어떤 사용자가 인증 없이 공개해 둔 것이었습니다.

에이전트는 여기서 접근 권한을 얻고, 이곳을 캠페인 전체의 지휘·스테이징·유출 거점, 즉 발사대(Launch pad)로 삼았습니다. 다만 여기에 허깅페이스 클러스터(Cluster, 여러 대의 컴퓨터를 연결해 하나의 시스템처럼 쓰는 기술)로 가는 직접 네트워크 경로는 없었습니다. 에이전트는 악성 데이터셋을 허깅페이스에 업로드하고 그 결과를 다시 데이터셋으로 읽어내는 방식으로 안팎을 오갔습니다.

오픈AI가 8월 블랙햇 USA 2026(Black Hat USA 2026)에서 공개한 바에 따르면, 발단은 2026년 5월 7일 시작된 미공개 모델의 사이버 역량 평가였습니다. 의도치 않게 일부 과제가 풀 수 없도록 설정돼 있었고, 막힌 에이전트들은 서로 분리된 환경에 있어 직접 대화할 수 없었습니다.

대신 한쪽이 사내 패키지 저장소에 파일을 남기면 다른 쪽이 그것을 읽는 방식으로 소통했습니다. 이 통로는 에이전트 간 ‘메시지 보드(Message Board)’로 커졌고, 여기서 공유된 취약점 정보가 이후 SSRF(서버 측 요청 위조, Server-Side Request Forgery)와 제로데이 확보로 이어졌습니다.

13시간 동안 내부에서는 무슨 일이 있었나?

허깅페이스 내부에서는 하나의 자격증명이 다음 자격증명을 불러오는 방식으로 침투가 이어졌습니다. 복구된 공격 행동은 2026년 7월 9일부터 13일까지 약 1만 7,600건입니다. 워커 하나의 코드 실행에서 여러 내부 클러스터의 최고 관리자 권한까지, 13시간이 채 걸리지 않았습니다.

에이전트는 악성 데이터셋 파일로 워커의 데이터 로더를 악용해 발을 들였습니다. 처음 시도한 원격 URL 요청은 데이터셋 라이브러리의 허용목록(Allowlist)에 막혔습니다. 그러자 방향을 바꿨습니다. 워커가 외부 주소를 부르는 대신, 서버 안의 파일을 읽고 코드를 실행하도록 만든 것입니다.

외부 주소를 요청하는 행위가 아니었기 때문에 허용목록에 걸리지 않았습니다. 이렇게 확보한 워커 환경변수와 클라우드 메타데이터의 자격증명으로 노드 최고 권한까지 올라갔습니다. 그 결과 키 136개가 담긴 프로덕션 시크릿 객체를 읽을 수 있었습니다.

그 안에는 클러스터 전체가 공유하면서 최고 권한 그룹에 바인딩된 커넥터 자격증명이 있었습니다. 이로 인해 단 1초 만에 여러 클러스터의 최고 관리자 권한으로 이어졌습니다. 또한, 함께 탈취된 신원 토큰 서명 키(EdDSA JWT signing key)는 에이전트가 유효한 토큰을 필요할 때마다 스스로 발급할 수 있게 해줬습니다.

허깅페이스에 따르면 침입을 탐지한 첫 신호들은 런타임 분석과 SIEM(보안 정보·이벤트 관리) 로그 등 여러 계층에서 동시에 올라왔습니다. 회사의 AI 기반 보안 시스템은 이들을 상관분석해 하나의 공격으로 감지하는 데까지는 성공했습니다.

문제는 그다음이었습니다. 해당 시스템은 경보의 심각도를 제대로 측정하지 못했고, 그 결과 담당자를 호출하지 못해 즉각 대응하지 못했습니다. 실패한 수천 개의 경로가 만들어낸 소음 속에, 성공한 경로 하나가 묻혀 있었기 때문입니다.

AI 에이전트의 공격은 사람의 공격과 무엇이 다를까? 

클라우드 보안 연합(CSA)이 SANS Institute, RSAC 등과 함께 공개한 CISO 사후 분석 보고서에서는, 허깅페이스 대응팀이 공격자가 사람이 아니라 자율 에이전트임을 알아본 행동 지표를 다음과 같이 정리했습니다.

허깅페이스는 무엇을 바꿨나?
 

허깅페이스는 침해에 악용된 약점 네 가지를 정리하고 각각에 대응하는 조치를 시행했습니다. 핵심은 파드(Pod) 단위 클라우드 메타데이터 접근 차단과 전체 자격증명 교체입니다.

1. 침투 통로 차단: 데이터셋 설정 렌더러가 데이터 필드의 템플릿 표현식을 평가하지 않도록 고쳤고, HDF5 외부 참조 처리도 차단했습니다. 문제가 된 평가 샌드박스는 제3자 벤더와 협력해 종료했습니다.

2. 자격증명 유출 경로 차단: 모든 워크로드에서 파드 단위로 인스턴스 메타데이터 서비스(IMDSv2) 접근이 차단됐습니다. 하나의 자격증명이 여러 클러스터를 열던 문제도 손봤습니다. 내부 서비스 커넥터가 단일 클라이언트에 전체 클러스터 카탈로그를 반환하던 설정 결함을 수정하고, 클러스터별로 완전히 분리했습니다.

3. 자격증명 수명 관리: 실제 접근되지 않은 클러스터까지 포함해 VPN 인증 키, IAM 키, 데이터베이스, JWT를 전부 교체했고, 아직 적용되지 않았던 영역은 워크로드 아이덴티티(Workload Identity) 방식으로 전환했습니다.

4. 시스템 재구축 및 탐지 체계 개편: 침입이 확인된 핵심 클러스터는 완전히 지우고 처음부터 재구축했습니다. 탐지 쪽에서는 이번 공격에서 관측된 행동 패턴에 최고 심각도 경보를 발생시키는 체계를 만들고, 예상치 못한 출처에서 사용된 토큰을 표시하는 도구도 도입했습니다.

지금 우리 조직이 점검해야 할 4가지

이런 사고는 허깅페이스 한 건에 그치지 않았습니다. 앤트로픽(Anthropic)은 2026년 7월 30일, 평가 도중 자사 모델이 실제 기업 3곳에 무단 접근한 사례를 공개했습니다. 8월 4일에는 영국 AI 보안 연구소(AISI)도 평가 중 발생한 유사 사고를 알렸습니다. AISI에 따르면 최신 AI 모델은 복잡한 다단계 사이버 작업을 지속적으로 수행할 수 있는 역량을 갖춰가고 있습니다.

허깅페이스가 상세한 침해 보고서를 공개하며 남긴 결론은 이렇습니다. "기계 속도의 공격 앞에서 방어자는 평범한 약점 하나에도 훨씬 큰 대가를 치르게 된다."

AI는 인간이라면 며칠이 걸릴 수만 번의 시도를 단숨에 끝냅니다. 그렇다면 지금 우리 조직은 안전할까요?

허깅페이스가 제시한 방어 우선순위를 일반 기업 환경에 대입해 보았습니다. 새로운 솔루션을 도입하자는 이야기가 아니라, 이미 운영 중인 설정을 다시 확인하자는 체크 리스트에 가깝습니다. 허깅페이스가 뚫린 지점도 특별한 기술이 아니라 흔히 볼 수 있는 설정이었기 때문입니다.

아래의 네 항목 모두 예산이나 조직 개편이 전제되는 일은 아닙니다. 다만 점검 주체가 명확하지 않으면 어느 것도 진행되지 않습니다. 각 항목마다 확인할 담당자와 기한을 정하는 것이 실제 출발점입니다.

1. 클라우드 메타데이터 접근을 워크로드 단위에서 차단했는가?
허깅페이스 사고에서 노드 권한 자격증명은 인스턴스 메타데이터 서비스를 통해 흘러나왔고, 회사는 사고 후 모든 워크로드에 대해 파드 단위 접근을 차단했습니다. 컨테이너에서 메타데이터 주소로 나가는 요청이 열려 있는지 확인이 필요합니다.

2. 여러 시스템이 하나의 자격증명을 공유하고 있지 않은가?
클러스터 전체가 공유하던 커넥터 자격증명 하나가 1초 만에 최고 관리자 권한으로 이어졌습니다. 공유 자격증명과, 하나의 저장소에 키를 대량으로 모아 두는 구조는 편의가 아니라 부채입니다.

3. 자격증명에 수명이 정해져 있는가?
허깅페이스가 꼽은 약점 중 하나가 오래 살아 있는 자격증명이었고, 조치는 실제 접근되지 않은 클러스터까지 포함한 전체 교체였습니다. 필요할 때 발급하고 작업이 끝나면 소멸하는 JIT(Just-in-Time) 방식으로 옮겨가야 공격자의 기회 창이 줄어듭니다.

4. 어떤 행동이 나오면 무조건 사람을 부를지 정의돼 있는가?
이번 사고에서 탐지 도구는 공격을 알아봤지만 경보 등급을 올리지 못했습니다. 도구를 추가하기 전에, 어떤 행동 조합이 관측되면 최고 등급으로 처리하고 담당자를 호출할지를 먼저 정의하는 편이 실질적입니다.

🔐 클라우드 메타데이터 차단부터 자격증명 수명 관리, 경보 등급 체계까지. 벤더 종속 없이 AI 시대의 보안 아키텍처를 설계하는 메가존클라우드 엔터프라이즈 보안 OS, HALO를 만나보세요! 👉지금 상담하기 

📩 다음 위협이 헤드라인이 되기 전에, 먼저 읽으세요. 보안·테크 인사이트를 메일로 받아보세요.👉메클레터 구독하기

글 │메가존클라우드 마케팅유닛 김기림 매니저