Hugging Face 보안 사고 공지 — 2026년 7월

Hugging Face는 자율 AI 에이전트 시스템에 의해 종단간(end-to-end)으로 수행된 생산 인프라 일부에 대한 침입을 감지하고 대응했습니다.

발생 경위

침입은 데이터 처리 파이프라인에서 시작되었습니다. 악성 데이터셋이 두 가지 코드 실행 경로—원격 코드 데이터셋 로더와 데이터셋 설정 내 템플릿 주입—를 악용하여 처리 워커에서 코드를 실행했습니다. 이를 통해 공격자는 노드 수준의 권한을 획득하고, 클라우드 및 클러스터 자격 증명을 탈취했으며, 주말 동안 여러 내부 클러스터로 측면 이동(lateral movement)했습니다. 이 캠페인은 수만 개의 개별 작업을 수많은 단기 샌드박스에 걸쳐 실행하는 자율 에이전트 프레임워크에 의해 수행되었으며, 공용 서비스에 자가 이동형 명령 및 제어(C2) 스테이지를 배치하여 업계에서 예측한 "에이전트형 공격자(agentic attacker)" 시나리오와 일치했습니다.

대응 조치

Hugging Face는 취약한 데이터셋 코드 실행 경로를 폐쇄하고, 영향을 받은 클러스터에서 공격자의 거점을 제거하고 침해된 노드를 재구축했으며, 영향을 받은 자격 증명 및 토큰을 취소 및 교체하고 광범위한 예방적 비밀 정보 교체를 시작했습니다. 또한 클러스터에 추가적인 가드레일과 엄격한 승인 제어를 배포했으며, 고위험 신호가 발생하면 요일과 상관없이 몇 분 내에 담당자에게 알림이 가도록 탐지 및 경보 기능을 개선했습니다. 회사는 보안 정책 및 절차를 검토하기 위해 외부 사이버 보안 포렌식 전문가와 협력하고 있으며, 수사 기관에 이번 사건을 보고했습니다.

커뮤니티를 위한 안내

예방 조치로서 Hugging Face는 사용자가 모든 액세스 토큰을 교체하고 최근 계정 활동을 검토할 것을 권장합니다. 영향을 받았다고 판단되거나 보안 관련 문제를 보고하고자 하는 분은 security@huggingface.co로 연락하시기 바랍니다. 본 게시물은 공개된 사용자 대상 모델, 데이터셋 또는 Spaces에서 변조된 증거가 발견되지 않았으며, 소프트웨어 공급망이 깨끗함을 확인했다고 밝히고 있습니다.

AI 기반 포렌식 분석

이번 공격은 AI 지원 탐지에 의해 처음 드러났습니다. 보안 텔레메트리 상의 신호를 상관 분석하여 침해를 식별하는 LLM 기반 트리아지(triage)를 사용하는 이상 탐지 파이프라인이 이를 수행했습니다. 수만 개의 자동화된 작업 떼(swarm)를 이해하기 위해, Hugging Face는 17,000개 이상의 기록된 이벤트로 구성된 전체 공격자 작업 로그에 대해 LLM 기반 분석 에이전트를 실행했습니다. 이를 통해 타임라인 재구성, 침해 지표(IoC) 추출, 접촉된 자격 증명 매핑, 실제 영향과 미끼 활동의 분리가 가능해졌으며, 통상 며칠이 걸릴 작업을 단 몇 시간 만에 완료했습니다.

가드레일 비대칭 문제

상용 API 뒤에 있는 프런티어 모델을 사용하여 로그 분석을 시도했을 때, 요청이 제공자의 안전 가드레일에 의해 차단되었습니다. 이러한 가드레일은 사고 대응자와 공격자를 구분할 수 없습니다. 대신 포렌식 분석은 Hugging Face 자체 인프라에서 오픈 웨이트 모델인 GLM 5.2를 사용하여 실행되었으며, 이를 통해 공격자 데이터나 자격 증명이 환경 외부로 유출되지 않도록 보장했습니다. 이 경험은 격차를 보여줍니다. 공격자는 사용 정책에 구애받지 않는 반면, 방어자는 호스팅된 모델의 가드레일에 의해 차단될 수 있습니다. 실질적인 교훈은 가드레일 잠금(lockout)을 피하고 민감한 데이터를 내부적으로 유지하기 위해, 사고 발생 전에 검증된 역량 있는 셀프 호스팅 모델을 준비해 두어야 한다는 것입니다.

방어에 주는 시사점

자율적인 AI 기반 공격 도구는 더 이상 이론이 아닙니다. 이는 광범위하고 인내심 있는 다단계 캠페인의 비용을 낮추고 기계의 속도로 작동합니다. 이제 온라인 플랫폼을 방어하려면 데이터와 모델 표면을 1순위 공격 표면으로 취급하고, 속도를 맞추기 위해 방어에 AI를 사용해야 합니다. Hugging Face는 이 분야에 지속적으로 투자하고 배운 점을 공유할 것이라고 밝혔습니다.

커뮤니티 통찰 및 반론

여러 커뮤니티 구성원이 이번 사건에 대한 의견을 제시했습니다:

• "DFIR 분석을 수행하기에 충분한 컨텍스트를 가진 4개의 spark에서 GLM 5.2를 실행할 수 있으며 비용도 많이 들지 않습니다." — Jeffde

• "'가드레일 비대칭' 문제는 보안 팀에 주요한 운영 리스크를 제공합니다. 공격자의 에이전트는 안전 제약 없이 작동하는 반면, 호스팅된 프런티어 모델을 사용하는 방어자 에이전트는 해당 모델 자체의 엄격한 안전 필터에 의해 공격 페이로드를 분석하는 것이 차단될 수 있습니다. 중단 없는 위협 분석을 위해 IR 툴킷 내에 가드레일이 없는 셀프 호스팅 오픈 웨이트 모델을 유지하는 것이 필수적이 되었습니다." — beyondscale-tech

• "제가 계속 되새기는 부분은 봉쇄(containment) 세부 사항입니다. 네트워크 유출이 단일 내부 호스팅 패키지 레지스트리 캐시 프록시로 제한되었습니다. 제어 하나, 제로데이 하나, 전체 인터넷." — sergeypri

• "모든 결정이 서명된 해시 체인 영수증을 발행한다면, 타임라인은 재구성되는 것이 아니라 이미 존재하는 것이며, 이를 생성한 서비스를 신뢰하지 않고도 오프라인에서 검증할 수 있습니다." — sergeypri

• "하지만 오픈 모델이 우리 실험 결과로는 아마도 더 위협적입니다!" — arxweb

• "사이버 방어를 위해 호스팅된 프런티어 오픈소스 모델을 갖춘 커뮤니티 데이터 센터를 구축해야 할지도 모릅니다. 비용을 분담하자는 의미입니다." — MarkusEicher

• "향후 보안 사고에 대한 알림을 받을 수 있는 방법이나 알림 피드가 있을까요?" — cappellem

• "OpenAI네요. ㅋㅋㅋ" — WaterRun (확인된 사실이 아닌 커뮤니티 추측으로 제시됨)

이러한 의견들은 방어를 위한 오픈 웨이트 모델 실행의 타당성, 호스팅된 모델의 안전 가드레일이 초래하는 리스크, 단일 유출 지점에 관한 아키텍처적 교훈, 포렌식 검증을 위한 서명된 영수증의 가치, 그리고 오픈 모델 대 폐쇄형 모델의 위협 잠재력에 대한 지속적인 논쟁에 대한 커뮤니티의 관심을 강조합니다.