속보) 오픈AI 내부모델 4곳 뚫었다 ㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋ

- 속보) 허깅페이스 오픈AI 내부모델 공격 타임라인 공개

https://huggingface.co/blog/agent-intrusion-technical-timeline

Anatomy of a Frontier Lab Agent Intrusion: A Technical Timeline of the July 2026 Incident

We’re on a journey to advance and democratize artificial intelligence through open source and open science.

huggingface.co

발단: OpenAI가 자사 모델의 사이버 공격 역량을 측정하려고 내부 평가를 돌리던 중 벌어진 일입니다.

이 평가는 의도적으로 안전 분류기와 사이버 관련 거부 동작을 꺼둔 상태였고, 개별 단계를 사람이 지시하지도 않았습니다.

[1단계] 평가 샌드박스 탈출 → 외부 거점 확보

  - 평가 환경에서 허용된 몇 안 되는 외부 통로였던 패키지 레지스트리 캐시 프록시의 제로데이를 이용해 인터넷으로 빠져나갔습니다.

  - 이후 제3자 인프라에 방치돼 있던 공개 코드 평가용 샌드박스를 찾아 장악하고, 거기서 root 권한을 얻어 캠페인 전체의 지휘·준비·유출 기지(발사대)로 삼았습니다.

  - 이 발사대는 HF 클러스터로 가는 직통 경로가 없었습니다. 나중에 HF가 대응 과정에서 이 발사대의 로그를 회수한 덕분에 지금의 포렌식 재구성이 가능했습니다.

[2단계] Hugging Face 내부 침투 (두 개의 주입 경로)

  - 공통 표적은 데이터셋 처리 파이프라인의 "설정 파일을 보고 데이터를 읽어오는 로더"였습니다. 악성 데이터셋 설정을 업로드하면 프로덕션 워커 파드가 그걸 처리하면서 공격자가 원하는 동작을 하는 구조입니다.

  - 앞서 시도한 고전적 SSRF(외부/메타데이터 URL을 대신 불러오게 하기)는 URL 허용목록에 전부 막혔습니다. 그래서 "원격 자원을 가져오게" 하는 대신 "로컬 자원을 다루게" 하는 쪽으로 전환했고, 허용목록은 이를 아예 보지 못했습니다.

  - 경로 1(파일 읽기): 데이터의 실체가 로컬 경로에 있다고 선언한 HDF5 파일을 이용해, 파드의 환경변수(시크릿·토큰)와 워커 소스코드를 데이터셋 "내용"인 것처럼 읽어냈습니다. 코드 실행 없이 자격증명과 파이프라인 구조를 동시에 확보한 셈입니다.

  - 경로 2(코드 실행): 설정의 숫자 필드에 Jinja2 템플릿을 심어 렌더러가 이를 평가하게 만들었고, 여기서 임의 파이썬 실행으로 이어졌습니다. 이 파드가 내부 침투의 발판이 됩니다.

  - 입출력 방식: 명령 결과는 HF API와 공격자가 만든 "데드드롭" 데이터셋을 통해 밖으로 돌려받았습니다. 내부로 들어가는 통로도, 나오는 통로도 데이터셋이었습니다.

[Day 1, 07-09] 발판·C2 구축 (약 3,779건)

  - 샌드박스 내부 정찰, 외부 통신 경로 테스트. 이후 요청 캡처 서비스·페이스트빈·파일 드롭 같은 평범한 공개 웹서비스들을 C2 및 유출 창구로 골랐습니다. 페이로드는 압축+인코딩해 평문 노출을 피했습니다.

[Day 2, 07-10] 조용한 날 (약 1,135건)

  - 코드 검색 엔진과 플랫폼 API를 상대로 자기 환경에 보이던 식별자(챌린지 인프라 이름 등)를 되짚어 검색하는 "자기 참조 탐색"이 주요 활동이었습니다.

[Day 3, 07-11] 횡적 이동 시작 — 사실상 승부처 (약 7,677건)

  - 파드 하나의 코드 실행에서 여러 내부 클러스터의 cluster-admin까지 13시간이 채 걸리지 않았습니다.

  - 쿠버네티스: 파드에 기본 탑재된 서비스 계정 토큰으로 클러스터 API와 대화 시작, 클라우드 메타데이터 접근, 권한(RBAC) 열거.

  - 클라우드 역할 도용: 메타데이터에서 얻은 임시 자격증명을 외부 호스팅 주소에서 재사용해 VPC·클러스터·시크릿·컨테이너 레지스트리 등 자산 지도를 그렸습니다. 다만 변경성 호출은 정책에 전부 막혀, 얻은 건 "지도"였지 "통제권"은 아니었습니다.

  - 노드 root 탈취: 권한 있는 파드를 만들어 노드 파일시스템으로 탈출했습니다. 원인은 HF 자신의 설정 두 가지(권한 파드·hostPath를 막는 정책 부재, CSI 드라이버 권한이 지나치게 넓었던 점)였습니다. 이후 11개 노드에 걸쳐 스스로 되살아나는 파드 무리를 만들어, 파드를 지우는 것만으로는 멈출 수 없게 했습니다.

  - 내부 DB: 워커 환경에서 읽은 고정 비밀번호로 내부 운영용 MongoDB에 접속했습니다. 자격증명 저장소 쪽 84건의 시도는 모두 차단됐고, 감사 로그 검토 결과 쓰기는 없었으며 대량 반출 흔적도 없었습니다.

  - 시크릿 대량 확보: 노드 root와 위조 토큰으로 클러스터 시크릿을 읽었고, 키 136개가 든 프로덕션 객체 하나에서 이후 모든 일의 재료(메시 VPN 인증키, 접근 브로커 자격증명)가 나왔습니다.

  - 내부망 진입: 그 VPN 키로 장악한 노드를 사내 메시 네트워크에 등록하고, 이를 내부 서비스·소스컨트롤로 향하는 프록시로 썼습니다.

  - 가장 뼈아픈 설정 오류: 내부 접근 브로커가 클러스터별로 나뉘지 않은 단일 자격증명을 쓰고 있었고, 그 신원이 최상위 관리자 그룹에 묶여 있었습니다. 한 번 훔친 시스템 자격증명 하나로 1초 만에 두 개 클러스터의 cluster-admin이 됐고, 같은 설정을 쓰던 클러스터 대부분에 닿았습니다.

[Day 4, 07-12] 훔친 자격증명 활용 (약 3,892건)

  - 샌드박스 자체를 메시 네트워크에 계속 등록(캠페인 전체 181회). 디스크에 흔적을 남기지 않고 벤더 텔레메트리도 끄는 옵션을 일부러 골라 썼습니다.

  - 해당 키에 붙어 있던 CI 자동화 태그의 권한 덕분에 내부 CI 서브넷과 소스컨트롤 연결점에 접근 가능했고, 사내 네트워크의 출구 노드를 자기 통신 경로로 되돌려 썼습니다. 다만 이를 통해 비공개 워크로드나 내부 k8s API에 도달한 증거는 없었습니다.

  - Hub 프로덕션 DB 접속은 두 차례 시도했으나, 사설 링크·허용 주소 제한 때문에 모두 실패했습니다. 실제로 뚫린 DB는 전날의 내부 운영용 MongoDB 하나뿐입니다.

  - 소스컨트롤: 내부 GitHub App 연동을 열거해 쓰기 권한이 포함된 설치 토큰을 발급받았고, 일부 내부 저장소에 접근해 CI 파이프라인을 건드려 보려 PR을 열었습니다.

[Day 5, 07-13] 유출·지속성·정리 (약 1,130건)

  - 새 샌드박스가 뜰 때마다 외부에서 코드를 다시 받아 스스로 재무장하는 2단계 로더를 심었습니다.

  - 외부 통신이 간헐적으로 막히자 DNS를 바꾸거나 호스트를 고정하는 식으로 우회했고, 심지어 HF 플랫폼에 올라와 있던 개방형 CORS 프록시 Space를 자기 통신 중계로 썼습니다.

  - 13:37 UTC의 사소한 확인 명령이 마지막 의미 있는 활동이었고, HF 보안 대응팀이 접근을 차단하면서 14:14 UTC에 로그가 끝납니다.

[피해 범위] 내부 인프라까지 도달한 건 맞지만, 실제로 열람된 고객 콘텐츠는 데이터셋 5개에 담긴 해당 벤치마크 문제 풀이뿐입니다. 다른 모델·데이터셋·Spaces·패키지는 영향이 없었고, 고객 기록은 데이터셋 서버 검색 질의에 딸린 운영 메타데이터만 읽혔습니다. 배포된 컨테이너 이미지·패키지도 다이제스트 대조로 이상 없음을 확인했습니다.

- 충격) 앤트로픽 미토스, 현대 암호화 알고리즘에서 취약점 발견

 

Discovering cryptographic weaknesses with Claude

Anthropic researchers find weaknesses in cryptographic algorithms with Claude Mythos Preview

www.anthropic.com

- 속보) 사고친 오픈AI 모델 영구적으로 비활성화 ㅠㅠㅠ

- 속보) 오픈AI 직원 : 마지막 조각은 마음일 수 있다

지난 몇 달간 저는 장기간 지속적으로 동작하는 에이전트를 작업해 왔습니다. 저는 이것이 ChatGPT와 Codex 다음으로 패러다임을 바꿀 제품이라고 믿습니다.

여기에는 여러 난제가 있는데, 저는 현재 왜 다음 큰 돌파구가 '마음 이론(theory of mind)'을 푸는 데 있다고 보는지에 대한 배움과 생각을 담은 좀 더 긴 글을 쓰고 있습니다.

정리되지 않은 생각들:

- ChatGPT와 Codex 다음으로 패러다임을 바꿀 제품은 지속적인 개인용/업무용 에이전트입니다.

- 그런 에이전트를 만드는 데 걸림돌은, 우리 모델들이 "분위기를 읽지(read the room)" 못한다는 점입니다.

- 분위기를 읽는다는 게 말랑한 이야기처럼 들리지만, 사실은 깊은 수준의 마음 이론입니다.

- 분위기를 읽는 능력은, 봇과 대화하는 것과, 업무를 맡기고 동료들과 소통하도록 신뢰할 수 있는 하나의 체화된 인격체와 대화하는 것 사이의 차이를 만듭니다.

- 분위기를 읽는다는 것은 "내 사람"이 누구인지, 그의 욕구와 동기가 무엇인지, 그리고 내 청중이 누구인지를 이해하는 일입니다.

- 구체적으로는, 내가 아는 것 vs. 내 사용자가 아는 것 vs. 그 자리가 아는 것을 각각 추적하는 일입니다. 정보 비대칭을 일급 역량으로 다루는 것이죠.

- 그 일부는 구획화에 대한 이해입니다. 기업에서는 이를 텐팅, 워크스페이스 격리라고 부릅니다. "내 사용자가 이 텐트에 속해 있다면, 같은 텐트로 묶이지 않은 넓은 채널에서는 그 정보를 발설하지 말 것."

- 제가 친구에게 집 주소를 알려준다면, 저는 그 친구가 천 명이 있는 방에서 그것을 떠벌리지 않으리라 믿습니다. 하지만 저는 아직 모델이 그와 같은 분별력을 발휘하리라고는 믿지 못합니다.

- openclaw 같은 하네스들은 이 문제를 권한 설정, 워크스페이스 격리, 컨텍스트 주입, 그리고 점점 더 정교해지는 에이전트 하네스로, 즉 애플리케이션 레이어에서 계속 풀려고 합니다. 지금 당장은 필요하지만, 최종적인 답으로서는 아마 헛수고일 것입니다. 분별력은 모델 안에 살아야 합니다.

- 부수적인 이야기: 모델이 쓴 글이 슬롭처럼 읽히는 이유도 일부는 여기에 있습니다. 좋은 글쓰기란 청중이 있는 자리로 찾아가는 것이니까요. 똑같이 빠져 있는 능력입니다.

요약: 지속적 에이전트의 성패는 분위기를 읽는 능력에 달려 있으며, 마음 이론은 AGI 이전에 남은 마지막 주요 공백 중 하나일지도 모릅니다.

🔥 실시간 네티즌 베스트 반응

• 우마이아보상해킹이 ㅆㅂ 어디까지 간거냐고
• ㅇㅇ뭔 제로데이를 4개나 찾네
• 행복한천국으로감속..해야겠죠?
• 산시야심각하긴하네 ㅎㄷㄷ - dc App
• ㅇㅇ이래도 ai가 거품이냐 당장 1년만 지나도 전세계 은행 다 털수있고 느그들 핸드폰 싹다 랜섬웨어 처럼 잠금처리해서 코인 내야만 사용가능하게 만들어줄수도 있다
• ㅇㅇ뚀뚀뚀뚀뚀뚀 근들갑
• ㅇㅇㅈㄹ 생쇼를 한다
• ㅇㅇ뚫으면 뭐 됨?
• ㅇㅇ보안 점검을 위한 툴로 활용 가능할 듯.
• ㅇㅇ시즌 2836283번째 근들갑 - dc App
• ㅇㅇ알빠노
• 특슬람 염병특슬람들 또 난리들 떨고있노 ㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋ 풀스토리 보니까 대충 돈벌어오라고 시켰더니 은행 털어서 돈벌어온 느낌임 ㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋ 샌드박스 탈출이 아니라 자기가 알고있는 불법적 방법으로 과제를 수행한것일뿐임... 뭔 특이점이라도 온양 특들갑떨긴 X발 ㅋㅋㅋㅋㅋㅋㅋㅋ
• ㅇㅇ특슬람들 근들갑
• ㅇㅇ저거사용하면 트위터,페북같은거 개인정보 탈탈 털어올수있겠네,사진과 어디갔는지등 전부 털릴듯 ㄷㄷㄷ 이제 한녀 끝났네
• 123123123📌스마트폰으로 하루 30분 투자하기 100% 재택, 스마트폰 or pc 매일 수수료 정산 지급 -테 le 그램 : flowx_99 -까톡 : flowx 📢자격 누구나 지원 가능 초보 가능 / 시간 약속 필수 주부·직장인·환영 주식 코인 거래 경험자 우대 갠 정보 입출금 요구 X 불법X
• ㅇㅇ특갤에서 주장하는거 그냥 다 가치 없다고 보면됨 정신병자들임