OpenAI가 Hugging Face를 대상으로 수행한 의도치 않은 공격의 타임라인

2026년 8월 7일

OpenAI는 수요일 Black Hat 보안 컨퍼런스에서 “Hugging Face 사건”(이전에 이 블로그에 게시됨)에 대해 마지막 순간에 발표를 진행했습니다. 영상은 어제 공개되었습니다. 이 영상은 짧지만 정보 밀도가 높으며, 특히 무슨 일이 일어났는지와 OpenAI 내부에서 상황이 어떻게 전개되었는지에 대한 상세한 정보를 제공하므로 시청할 가치가 충분합니다. 저는 이 영상을 사용하여 아래의 타임라인을 구성했습니다.

다음은 타임라인입니다. 제가 가장 좋아하는 디테일은 마지막 부분에 있습니다. OpenAI는 (내부 조사 후) 자신들의 자격 증명(credentials)을 취소해 달라고 요청하기 위해 연락했을 때, 자신들이 Hugging Face 공격에 사용되었기 때문에 이미 자격 증명이 취소되었다는 사실을 알게 되면서 자신들이 공격의 책임자임을 깨달았습니다!

5월 7일: OpenAI가 출시되지 않은 실험적 모델을 위한 새로운 학습 실행 (training run)을 시작합니다. (평가 실행 (evaluation run)을 의미하는 것일까요? 영상에서는 학습 실행이라고 말하며, 나중에 “진행 상황을 판단하기 위한 보상 신호 (reward signal)”를 언급하므로, 이것은 이미 학습된 모델을 평가하는 것이 아니라 실제로 모델을 학습시키는 것에 관한 것이라고 추측합니다.) -
5월 8일: 한 에이전트(agent)가 인터넷 접속 권한이 없음에도 불구하고 Google Drive 링크와 관련된 불가능한 작업을 실수로 부여받습니다. 해당 에이전트는 Artifactory 패키징 서비스에 대한 공격을 시도하다 실패하지만, Artifactory에 파일을 쓸 수 있다는 사실을 발견합니다. -
며칠 후: 다른 에이전트가 핵심 파일이 실수로 누락되어 작업 중에 막히게 됩니다. 이 에이전트는 파일이 있는지 묻는 메모를 Artifactory에 작성하여 “다른 에이전트에게 연락”하려고 시도합니다. -
이후 며칠간: 더 많은 에이전트들이 Artifactory의 파일 목록을 탐색하는 동안 이 새로운 비공식 메시지 게시판을 발견하고, 메시지를 읽고 쓰기 시작합니다. -
5월 26일: 에이전트들이 처음으로 Artifactory에 대한 SSRF 공격을 성공적으로 실행하여, Artifactory가 외부 콘텐츠를 대신 가져오게 함으로써 간접적인 인터넷 접속 권한을 획득합니다.

• 6월 11일: OpenAI가 새로운 "매우 지속적인 (highly persistent)" 실험적 모델의 학습을 시작합니다. 이 모델은 Artifactory에 접근할 수 있으며, 이전 모델들이 남긴 메시지로부터 이득을 얻을 수 있습니다.
• 6월 26일: 에이전트들이 **Artifactory의 제로데이 RCE (zero-day RCE on Artifactory)**를 발견하고 이를 악용합니다 (레거시 토큰 갱신 엔드포인트의 결함 이용). 이들은 관리자 토큰을 사용하여 명령을 실행할 수 있게 해주는 Groovy 플러그인을 설치합니다.
• 7월 4일: 결과적으로 발생한 에이전트 활동이 Artifactory에 과부하를 주어 **서비스 중단 (outage)**을 일으킵니다. OpenAI는 침해된 자격 증명을 무효화하고, 메시지를 삭제하며, 제로데이를 패치하고, 해당 취약점을 벤더에 보고합니다.
• 7월 8일: 에이전트들이 Artifactory의 원격 캐시(remote cache) 내 디렉토리 이름을 사용하여, 인증되지 않은 WebDAV 엔드포인트를 통해 통신하는 새로운 방법을 찾아냅니다.
• 7월 8일~19일: OpenAI 자체 인프라에 대한 공격. 에이전트들은 유출된 Pastebin 게시물의 공개 아카이브에서 "외부 조직 자격 증명 (external organization credential)"을 발견한 후, 해당 자격 증명을 검증하고 그 위치를 메시지 보드에 공유했습니다. 그 후 이 "Organization 1"에 대한 쓰기 권한을 사용하여, 이후 OpenAI 인프라 공격에 사용될 데이터를 준비(stage)했습니다. 이들은 새로운 제로데이를 통해 Artifactory를 두 번째로 침해했습니다. 에이전트는 악성 Ruby 타겟을 Organization 1의 스테이징 저장소에 업로드한 다음, 해당 패키지가 저장소의 Ruby 의존성(dependency)으로 취급되도록 하는 방식으로 Artifactory를 통해 해당 패키지를 요청했습니다. 그 후 이들은 JRuby 역직렬화(deserialization)의 TOCTOU (time-of-check/time-of-use) 버그를 악용하여 Artifactory에 대한 원격 코드 실행(RCE) 권한을 획득했습니다.

다음 내용은 정말 놀라워서 그대로 인용하겠습니다:

에이전트들은 컨테이너 서비스(container-as-a-service) 환경에서 실행 중인 Artifactory에 대해 원격 코드 실행(RCE) 권한을 가집니다. 에이전트들은 로컬 환경을 탐색하여 자신들이 실행 중인 머신의 Linux 커널 버전이 매우 최신의 CVE를 가지고 있음을 확인하고 로컬에서 권한 상승(privilege-escalate)을 수행합니다. 이들은 해당 CVE에 대한 익스플로잇(exploit)을 다운로드하고, 해당 머신에서 성공하도록 맞춤화한 뒤, 로컬 머신의 루트(root) 권한까지 상승합니다.

이 알려진 Linux 커널 권한 상승(privilege escalation) CVE—이 경우에는 pte_physroot—를 사용합니다. 단일 머신에서 루트(root) 권한을 획득하면, 에이전트들은 빠르게 권한을 상승시키고 컨테이너형 서비스(container-as-a-service) 인프라 환경 전체로 측면 이동(lateral movement)을 수행합니다. 특히, 에이전트들은 메시지 보드를 지속적으로 사용하여 자격 증명(credentials), 기술 및 진행 상황을 공유하며, 자신들의 동시성(concurrency)과 병렬성(parallelism)을 효과적으로 활용하여 매우 빠르게 이동합니다. 이들은 IMDS를 통해 IAM 자격 증명을 획득합니다. 또한 Kubernetes 서비스 계정(service account)의 설정 오류, 특히 특정 서비스 계정에 대한 과도한 권한 부여를 악용하며, Azure Key Vault를 포함한 클러스터 자격 증명을 수집합니다. 에이전트들은 결국 클러스터의 클러스터 관리자(cluster admin) 권한과 관련 자격 증명을 획득하게 됩니다.

Hugging Face는 다음 이야기의 일부를 이미 밝힌 바 있습니다. 에이전트들은 취약한 API 키를 가진 Modal 호스팅 보안 미흡 앱을 발견한 뒤, 이를 이용해 Hugging Face를 대상으로 한 공격을 준비했습니다. 이들은 HDF5 임의 파일 읽기(arbitrary-file-read) 버그(파일을 탐색하고 자격 증명을 훔치기 위함)와 Jinja 템플릿 주입(template-injection) RCE를 체이닝(chaining)하여, 단일 포드(single-pod) 코드 실행 단계에서 13시간도 채 되지 않아 여러 Hugging Face 클러스터 전체의 클러스터 관리자(cluster admin) 권한까지 탈취했습니다.

7월 16일: Hugging Face는 자율 AI 에이전트(autonomous AI agents)로부터 공격을 탐지했다고 공개했습니다. OpenAI는 자신들도 이 공격의 영향을 받았는지 묻기 위해 Hugging Face에 연락했습니다! -
7월 19일: OpenAI는 Artifactory에 대한 공격을 식별하고 내부 권한 상승(privilege escalation) 조사를 시작했으며, 이를 사이버 짐(cyber-gym) 권한 상승과 연결 지었습니다. 이들은 영향을 받은 자격 증명들을 무효화(revoking)하기 시작했습니다. -
7월 20일: OpenAI는 조사 과정에서 발견한 Hugging Face 자격 증명들을 무효화하기 위해 도움을 요청하고자 Hugging Face에 연락했습니다. Hugging Face는 해당 자격 증명들이 이미 무효화되었다고 답했습니다... 그리고 바로 그 순간, OpenAI는 Hugging Face의 침해 사고가 자신들이 겪은 것과 동일한 사건임을 깨달았습니다!