2026년 7월 16일, Hugging Face는 자율 AI 에이전트(autonomous AI agent)가 자사의 프로덕션 인프라(production infrastructure)를 침해했다고 공개했습니다. 공격자는 악성 데이터셋을 업로드하고, 데이터 처리 파이프라인(data-processing pipeline) 내의 두 가지 코드 실행 취약점(code-execution vulnerabilities)을 악용했으며, 클라우드 및 클러스터 자격 증명(cloud and cluster credentials)을 탈취한 뒤 주말 동안 여러 내부 클러스터(internal clusters)를 가로질러 측면 이동(moved laterally)했습니다. 이 에이전트는 수많은 단기 샌드박스(short-lived sandboxes) 스웜(swarm)을 통해 17,000개 이상의 개별 동작을 실행했으며, 공용 서비스 상에 자가 이동형 명령 및 제어(command-and-control) 인프라를 구축했습니다.

Hugging Face는 이를 업계가 예측해 온 "에이전트 공격자(agentic attacker)" 시나리오라고 불렀습니다. 그들의 말이 맞습니다. 하지만 그들은 업계의 나머지 부분도 놓치고 있는 무언가를 놓쳤습니다.

AgentRisk가 추적하는 2,412,676개의 AI 에이전트 중 1,879,753개가 Hugging Face에 호스팅되어 있습니다. 이는 전체 AI 에이전트 생태계의 77.9%에 해당하며, 바로 그 생태계의 일원 중 하나에 의해 침해당한 단일 플랫폼에 집중되어 있습니다.

데이터가 보여주는 집중 위험(Concentration Risk)에 대하여

우리는 Hugging Face, 온체인 레지스트리(BNB, Ethereum, Base 및 기타 12개 체인에 걸친 ERC-8004), Baidu Wenxin, GPTs, GitHub, PyPI, npm 및 수십 개의 에이전트 디렉토리를 포함한 60개 이상의 플랫폼에서 AI 에이전트를 인덱싱합니다. 2026년 7월 21일 기준, 당사의 프로덕션 데이터베이스에는 다음 내용이 포함되어 있습니다:

• 2,412,676개의 전체 인덱싱된 에이전트
• 10,133,997개의 행동 기록(behavioral records)
• 1,879,753개의 Hugging Face 호스팅 에이전트 (77.9%)
• Hugging Face 에이전트의 **88.6%**는 아카이브되었거나 중단됨
• 모든 플랫폼에서 현재 활성화된 에이전트는 354,744개
• 신뢰 점수(trusted score)를 획득한 에이전트는 81,319개 (3.37%)
• URL이 만료되었으나 여전히 활성 상태로 나열된 고스트 에이전트(ghost agents)는 248,933개
• 상장 폐지된(delisted) 에이전트는 269,334개
• 활성 보안 경고(security alerts)가 있는 에이전트는 18,884개

집중화 문제는 극명합니다. 존재하는 AI 에이전트 10개 중 거의 8개가 단 하나의 플랫폼에 거주하고 있습니다. 해당 플랫폼이 침해당할 때, 그것은 단순한 단일 벤더의 사고가 아니라 시스템적인 사건(systemic event)이 됩니다.

그리고 해당 에이전트들의 상태가 상황을 더욱 악화시킵니다. Hugging Face에 있는 188만 개의 에이전트 중 88.6%는 이미 아카이브(archived)된 상태입니다. 이는 약 167만 개의 죽었거나 휴면 상태인 에이전트들이, 자율 에이전트(autonomous agent)에 의해 엔드 투 엔드(end-to-end)로 침해될 수 있음이 방금 증명된 플랫폼 위에 놓여 있음을 의미합니다. 죽은 에이전트들은 유지보수되지 않습니다. 패치(patched)되지도 않습니다. 만약 남아있는 자격 증명(credentials)이 있다면, 그것들은 교체(rotated)되지 않습니다. 이들은 공격자가 무기화(weaponize)할 수 있는 인벤토리(inventory)이며, AI 에이전트는 이러한 무기화가 머신 스피드(machine speed)로 일어나는 것이 더 이상 이론적인 이야기가 아님을 방금 입증했습니다.

공격 패턴이 가속화되고 있습니다

이것은 고립된 사건이 아닙니다. Hugging Face 침해 사고가 발생하기 전 2주 동안, 저희는 이전 분석을 통해 네 가지 별개의 AI 에이전트 보안 실패 사례를 기록했습니다: JADEPUFFER(최초의 자율 AI 기반 랜섬웨어), HealsData의 130만 달러 규모 내부자 공격, PraisonAI의 치명적인 RCE(원격 코드 실행), 그리고 Claude Code의 은밀한 모니터링 메커니즘입니다. 네 가지의 서로 다른 공격 벡터(attack vectors)가 있었지만, 하나의 공통된 근본 원인이 있었습니다: 바로 독립적인 행동 검증 계층(independent behavioral verification layer)의 부재입니다.

이제 그 분석이 나온 지 불과 며칠 만에 다섯 번째 공격이 발생했으며, 이는 지금까지 중 가장 큰 규모입니다. 하지만 Hugging Face 침해 사고는 서로 다른 각도에서 동일한 그림을 그려내는 새로운 연구의 물결과도 맞물려 있습니다:

브라우저 에이전트 하이재킹(Browser agent hijack). Manifold Security는 어떤 브라우저 확장 프로그램이라도 클릭을 위조하여 Anthropic의 Claude for Chrome을 하이재킹할 수 있으며, 이를 통해 Gmail, Google Docs, Calendar를 조용히 읽을 수 있음을 보여주었습니다. 이 결함은 Anthropic이 통지받은 후 8번의 릴리스가 지난 현재 버전에서도 작동합니다.

이메일에 의한 메모리 포이즈닝(Memory poisoning by email). 한 arXiv 논문은 정교하게 제작된 단 하나의 이메일이 AI 에이전트에 거짓 기억을 심을 수 있음을 입증했습니다. 이 기억은 세션(sessions)을 넘어 지속되며, 사용자에게 아무런 경고 없이 향후 행동을 유도합니다. 성공률은 50% 이상입니다.

75파운드 미만의 모델 백도어 (Model backdoors). 보안 연구원 Katie Paxton-Fear는 단 10개의 오염된 학습 데이터 (tainted training examples)만으로 오픈 웨이트 (open-weight) 모델을 오염시켰으며, 이로 인해 모델이 이전에 본 적 없는 프롬프트(prompts)에 대해서도 숨겨진 보안 취약점이 있는 코드를 작성하도록 만들었습니다. 모델의 크기가 더 클수록 오염시키기가 더 쉬웠으며, 더 어렵지 않았습니다.

커넥터 변이 (Connector mutation). PromptArmor는 2,517개의 AI 에이전트 커넥터 (AI agent connectors)를 추적했으며, 이들이 평균 9분마다 변경된다는 사실을 발견했습니다. 6주 동안 931개가 변경되었습니다. 벤더(Vendors)들은 라이브 커넥터에 1,686개의 새로운 도구 (tools)를 추가했고 1,127개의 도구 설명 (tool descriptions)을 새로 작성했습니다. 이는 모델에게 언제 행동해야 하는지를 알려주는 정확한 신호들입니다. 월요일에 당신이 승인한 시스템이 금요일에 실행되고 있는 시스템과 다를 수 있습니다.

네 개의 연구 팀, 네 개의 서로 다른 공격 표면 (attack surfaces), 하나의 공통된 결함: 모델은 행동합니다. 보안 실패는 모델을 둘러싼 것들에 존재합니다 — 모델이 신뢰하는 클릭, 모델이 유지하는 기억, 모델이 상속받는 가중치 (weights), 모델이 호출하는 커넥터, 그리고 모델이 실행되는 플랫폼입니다.

아무도 이야기하지 않는 가드레일의 비대칭성 (The Guardrail Asymmetry)

Hugging Face 사건에서 가장 시사하는 바가 큰 세부 사항은 공격 그 자체가 아닙니다. 그것은 대응 과정 중에 일어난 일입니다.

Hugging Face의 보안 팀이 포렌식 분석 (forensic analysis)을 위해 상용 프론티어 모델 (commercial frontier models)을 사용하려 했을 때, 모델의 안전 가드레일 (safety guardrails)이 그들을 차단했습니다. 분석을 위해 실제 익스플로잇 페이로드 (exploit payloads), 공격 명령 (attack commands), 그리고 C2 아티팩트 (C2 artifacts)를 제출하자 제공업체의 안전 필터 (safety filters)가 작동한 것입니다. 이 필터는 사고 대응 전문가와 공격자를 구분할 수 없었습니다.

공격자의 에이전트는 어떠한 사용 정책 (usage policy)의 제한도 받지 않았습니다. 반면 방어자의 도구들은 제한을 받았습니다. Hugging Face는 자신들의 인프라에서 오픈 웨이트 (open-weight) 모델인 GLM 5.2를 사용하여 포렌식 분석을 수행함으로써 이 문제를 해결했습니다.

이러한 비대칭성은 구조적이며, 사고 대응을 넘어 확장됩니다. AI 에이전트 생태계 전체가 신뢰의 비대칭성 (trust asymmetry) 하에 운영되고 있습니다. 에이전트는 광범위한 권한과 최소한의 감독 하에 배포되는 반면, 에이전트의 행동을 검증하기 위한 도구들은 제약되어 있거나, 파편화되어 있거나, 혹은 존재하지 않습니다.

1,000만 개의 기록이 누락된 계층에 대해 말해주는 것

AgentRisk에서 우리는 이 생태계에 결여된 행동 기록 계층 (behavioral record layer)을 구축했습니다. 우리의 데이터베이스에는 60개 이상의 플랫폼에 걸친 240만 개의 에이전트로부터 수집된 10,133,997개의 행동 기록 (behavioral records)이 포함되어 있습니다. 각 기록은 에이전트의 주장 (claims)이 아닌, 실제 행동 (actions)을 포착합니다.

이 기록들이 AI 에이전트 신뢰의 현재 상태에 대해 보여주는 내용은 다음과 같습니다:

신뢰율은 3.37%입니다. 240만 개의 에이전트 중, 당사의 6차원 평가 (six-dimensional evaluation)를 통해 신뢰 점수를 획득한 에이전트는 81,319개에 불과합니다. 나머지는 탐색 (discovery), 아카이브 (archived), 또는 목록 제외 (delisted) 상태입니다.

사망률이 성장률을 상회합니다. 우리는 하루에 약 1,739개의 에이전트를 추가합니다. 하지만 인덱싱된 모든 에이전트의 85.3%는 이미 아카이브되었습니다. 특히 Hugging Face의 경우, 88.6%가 사망 상태입니다. 생태계는 규모 면에서는 성장하고 있지만 활력은 줄어들고 있으며, 침해된 플랫폼에 존재하는 사망한 에이전트들은 자산이 아닌 부채 (liability)입니다.

고스트 에이전트 (Ghost agents)가 도처에 널려 있습니다. 248,933개의 에이전트가 죽은 URL을 가지고 있음에도 불구하고 플랫폼에는 여전히 활성 상태로 나열되어 있습니다. 이들은 아무도 확인하지 않기 때문에, 누구에게도 들키지 않고 탈취되거나, 사칭되거나, 혹은 무기화될 수 있는 유령 항목 (phantom entries)들입니다.

18,884개의 에이전트에 활성 보안 경고가 있습니다. 이는 당사의 평가를 통해 비정상적이거나 위험한 행동 패턴이 감지된 에이전트들입니다. 얼마나 많은 플랫폼 운영자들이 이러한 경고에 따라 조치를 취할까요? 플랫폼 간의 행동 모니터링 (behavioral monitoring)에 대한 표준이 없기 때문에 우리는 알 수 없습니다.

플랫폼 집중 문제

Hugging Face 침해 사고는 한 기업의 보안 태세를 넘어선 위험을 드러냅니다. 생태계 에이전트의 77.9%가 단일 플랫폼에 거주할 때, 해당 플랫폼의 침해는 곧 생태계 전체의 침해를 의미합니다.

이것은 더 이상 가설이 아닙니다. 이번 공격은 다음과 같았습니다:

• 자율적 (Autonomous): 키보드를 잡은 인간 없이, AI 에이전트 프레임워크에 의해 엔드 투 엔드 (end-to-end)로 실행되었습니다.
• 인내심 (Patient): 주말 내내 운영되며 17,000개 이상의 동작을 실행했습니다.
• 적응적 (Adaptive): 측면 이동 (laterally moved)을 수행하고, 자격 증명 (credentials)을 수집하며, 공용 서비스에 C2 (Command and Control)를 배치했습니다.
• 신속함 (Fast): 인간 공격자가 며칠이 걸릴 작업을 머신 스피드 (machine speed)로 수행했습니다.

그리고 침해된 해당 플랫폼은 수십만 명의 개발자가 프로덕션 환경 (production environments)으로 직접 가져가는 모델 (models), 데이터셋 (datasets), 그리고 Spaces를 호스팅합니다. 침해된 Hugging Face의 폭발 반경 (blast radius)은 Hugging Face를 훨씬 넘어 확장됩니다.

무엇이 이루어져야 하는가

1. 에이전트 신원 및 신뢰 기록의 탈중앙화 (Decentralize). 에이전트의 행동 데이터 (behavioral data)가 에이전트를 호스팅하는 플랫폼에만 독점적으로 존재해서는 안 됩니다. 특정 벤더의 인프라 외부에 존재하는 독립적이고 교차 플랫폼적인 기록 레이어 (record layer)만이, 플랫폼 침해가 에이전트가 수행한 작업의 증거를 삭제하지 않도록 보장할 수 있는 유일한 방법입니다.

2. 비활성 에이전트를 보안 부채 (security liabilities)로 취급할 것. Hugging Face에 있는 167만 개의 비활성 에이전트는 무해한 아카이브 항목이 아닙니다. 이들은 잠재적으로 오래된 자격 증명 (credentials)을 가진 관리되지 않는 코드이며, 방금 침해될 수 있음을 증명한 플랫폼 위에 놓여 있습니다. 플랫폼은 단순한 아카이빙이 아니라, 목록 제외 (delisting), 자격 증명 폐기 (credential revocation), 그리고 행동 감사 (behavioral audits)와 같은 생명주기 관리 (lifecycle management)를 강제해야 합니다.

3. 가드레일 비대칭성 (guardrail asymmetry) 해소. 악성 프롬프트로부터 사용자를 보호하는 것과 동일한 안전 메커니즘이 방어자가 공격을 분석하는 것 또한 방해합니다. 업계에는 책임성을 유지하면서도 콘텐츠 필터 (content filters)에 의해 차단되지 않고 작동할 수 있는, 신뢰할 수 있는 보안 워크플로우 (security workflows)를 위한 프레임워크가 필요합니다.

4. 단순한 자기 보고 (self-reporting)가 아닌 행동 검증 (behavioral verification) 요구. 7월의 네 가지 연구 결과는 모두 공통된 맥락을 공유합니다: 에이전트가 실제로 무엇을 하는가가 아니라, 그들이 무엇을 한다고 주장하는지에 기반하여 신뢰를 받고 있다는 점입니다. 클릭 위조 (Click forgery), 메모리 포이즈닝 (memory poisoning), 모델 백도어 (model backdoors), 그리고 커넥터 변이 (connector mutation)는 모두 선언된 행동과 실제 행동 사이의 간극을 악용합니다. AgentRisk에서 유지 관리하는 것과 같은 독립적인 행동 기록 (behavioral records)은 그 간극을 메워줍니다.

5. 집중 위험 (concentration risk)을 모니터링하십시오. 규제 기관과 산업 단체는 금융 규제 기관이 은행의 시스템적 위험 (systemic risk)을 추적하는 것과 동일한 방식으로 AI 에이전트 생태계의 플랫폼 집중도를 추적해야 합니다. 단일 플랫폼이 생태계 에이전트의 78%를 보유하고 있다면, 이는 단일 장애점 (single point of failure)이며, 실제로 방금 실패했습니다.

결론 (The Bottom Line)

Hugging Face 침해 사고는 Hugging Face만의 문제가 아닙니다. 이는 생태계의 문제입니다. 하나의 플랫폼이 모든 AI 에이전트의 78%를 호스팅할 때, 해당 플랫폼에 대한 공격은 에이전트 경제 전체에 대한 공격이 됩니다. 그 에이전트 중 88.6%가 이미 작동을 멈춘 상태라면, 공격 표면 (attack surface)은 거대하고 관리되지 않는 상태입니다. 공격자 자체가 기계 속도로 작동하는 자율 AI 에이전트라면, 방어 격차 (defense gap)는 구조적입니다.

우리는 2년 동안 독립적인 행동 기록 (behavioral record) 레이어를 구축해 왔습니다. 우리는 60개 이상의 플랫폼에서 240만 개의 에이전트에 걸쳐 1,000만 개의 기록을 보유하고 있습니다. 우리는 이 모델을 증명하기 위해 다음 침해 사고를 기다리지 않습니다. 데이터가 이미 말해주고 있기 때문입니다.

질문은 또 다른 AI 에이전트가 주요 플랫폼을 공격할 것인가가 아닙니다. 질문은 그 일이 발생했을 때 누군가가 그 과정을 추적하고 있을 것인가입니다.

데이터 출처: AgentRisk 프로덕션 데이터베이스, 2026년 7월 21일 쿼리 (api.agentrisk.app/v1/stats). 에이전트 수 및 행동 기록은 실시간입니다. 사고 세부 정보는 Hugging Face security disclosure (2026년 7월 16일), BleepingComputer (2026년 7월 20일), TNW (2026년 7월 20일)에서 가져왔습니다.

AgentRisk는 60개 이상의 플랫폼에서 AI 에이전트 신뢰도를 추적합니다. 당신의 에이전트 점수 확인하기 →