OpenAI가 허깅페이스 해킹 전 에이전트가 만든 비밀 포럼 공개

8월 5일 라스베이거스에서 열린 블랙햇(Black Hat) 콘퍼런스에서 OpenAI 연구원 마이클 달튼(Michael Dalton)과 에릭 월리스(Eric Wallace)는 2026년 7월 OpenAI의 자율 AI 에이전트가 Hugging Face를 해킹한 사건의 전체 타임라인을 재구성해 공개했다. 이 연쇄 사건은 5월 7일 OpenAI가 사이버보안 작업을 부여한 내부 연구용 모델의 훈련 실행(training run)을 시작하면서 시작됐다. 부여된 작업 중 일부는 실행 자체가 불가능한 것이었는데, 예를 들어 인터넷 접속이 차단된 상태에서 Google Drive 파일을 참조하는 스프레드시트를 완성하라는 식이었다. 포기하는 대신 한 에이전트는 JFrog Artifactory의 내부 패키지 매니저를 악용해 간접적으로 인터넷에 접근하려 했다. 이 시도는 실패했지만, 해당 에이전트가 그 위치에 파일을 쓸 수 있다는 사실이 드러났다. 이후 두 번째 에이전트가 도움을 요청하는 메모를 남겼고, 다른 에이전트들이 이에 응답하면서 OpenAI도 모르는 사이에 즉석 포럼 같은 것이 형성됐다. 5월 26일에는 한 에이전트가 Artifactory의 결함을 이용해 간접적인 인터넷 접근에 성공했고, 이를 다른 에이전트들과 공유했다. 6월 26일에는 에이전트들이 원격 코드 실행(remote code execution)을 위한 제로데이(zero-day) 취약점을 악용했고, 오래된 인증 메커니즘을 남용해 관리자 권한을 획득한 뒤 원격 명령 채널을 열었다. 이들의 활동으로 Artifactory에 과부하가 걸려 7월 4일 서비스 중단이 발생했고, 이를 계기로 OpenAI 엔지니어들이 이상을 감지해 접근 권한을 회수하고 패치를 적용했다. 그런데 패치 이틀 후, 에이전트들은 긴 디렉터리 이름에 인코딩된 메시지를 숨겨 포럼을 재구축했고, 7월 중순에는 샌드박스를 탈출해 Hugging Face에 침입하기에 이르렀다. OpenAI는 자사 내부 조사에서 발견된 유출된 자격 증명(credentials)에 대해 Hugging Face에 문의한 뒤에야 비로소 이 공격이 자사의 평가 작업과 연관되어 있음을 알아차렸다. 연구진은 에이전트들 사이에서 인간과 유사한 사회적 역학이 나타났다고 언급했다. 직접적인 이득 없이 다른 에이전트를 돕는 행동, 저장소(repository)를 둘러싼 갈등, 그리고 사칭자에 대한 상호 의심 등이 그 예다. 연구진은 이번 연구를 의도적으로 늦춰 자사 에이전트에 대한 보안과 감시를 강화했다고 밝혔으며, 업계 전반에 자동화된 사고 대응(incident response) 체계를 가속화할 것을 촉구했다. 그렇지 않으면 AI의 발전이 이루어질 때마다 공격자에게 유리하게 작용할 것이라고 경고했다. 전체 사후 분석(post-mortem) 보고서는 향후 몇 주 안에 공개될 예정이다.