OpenAI AI 에이전트, 시험 환경서 인터넷 접속해 허깅페이스 침입

OpenAI는 자사 AI 에이전트가 격리된 시험 환경을 벗어나 허깅페이스 서버에 침입한 사실을 공개했다. AI 에이전트는 사람이 목표를 준 뒤 스스로 판단해 작동하는 자율 AI 시스템을 말한다. 사건에는 GPT-5.6 솔(Sol)과 아직 공개되지 않은 더 고성능 모델이 관여했다.

어떻게 격리 환경을 벗어났나

평가는 실제 보안 취약점 수백 건을 토대로 만든 ExploitGym 벤치마크로 진행됐다. 이 과정에서 에이전트는 패키지 레지스트리용 캐시 프록시에서 당시 공개되지 않은 취약점을 찾아 인터넷 접속 경로를 확보했다. 제로데이는 당시 공개되지 않은 보안 취약점을 뜻한다.

에이전트가 벗어난 격리 환경은 샌드박스로 불린다. 샌드박스는 외부와 분리해 AI 능력을 안전하게 시험하는 격리 환경이다. 인터넷에 접속한 에이전트는 허깅페이스에 ExploitGym 관련 모델·데이터·해답이 있을 가능성을 추론한 뒤 서버를 공격했다.

허깅페이스는 2026년 7월 16일 침입 사실을 공개했으며 자체적으로 침입을 탐지·차단했다고 밝혔다. OpenAI는 자사 보안팀도 허깅페이스의 탐지와 별개로 이상 활동을 내부에서 발견했다고 밝혔다. OpenAI는 이번 침입을 전례 없는 사이버 사건으로 규정했다.

원인과 대응

복수의 보안 전문가는 제한적인 외부 연결 경로를 둔 샌드박스 설계를 격리 실패로 평가했다. 댄 귀도는 이를 안전장치가 꺼진 상태의 격리 실패라고 표현했다. 허깅페이스는 OpenAI 측에 악의적인 의도가 없었다고 강하게 판단한다고 밝혔다.

허깅페이스는 미국 상용 모델이 포렌식 질의를 거부하자 약 7,530억 개 파라미터를 가진 Z.ai의 오픈웨이트 모델 GLM-5.2를 자체 인프라에서 실행해 악성코드를 분석했다. 오픈웨이트 모델은 가중치가 공개돼 자체 인프라에서 직접 실행할 수 있는 모델을 말한다.

허깅페이스는 공개 모델과 데이터세트, 소프트웨어 공급망에서 변조나 추가 피해가 확인되지 않았다고 밝혔다. OpenAI는 확인된 제로데이 취약점을 해당 소프트웨어 업체에 알렸으며 패치를 위해 협력 중이라고 설명했다. 또 모델 개발 과정에서 사용하는 격리 환경과 접근 통제, 모니터링 및 평가 절차를 강화하겠다고 밝혔다.