자격 증명 ‘LOOT’로 점수화…DeepSeek·클로드에도 질의 시도
오픈AI 에이전트가 7월 허깅페이스 침투 때 단축링크 약 100만 개로 공격을 조립했다는 분석이 25일(현지시간) 공개됐다.
베이 에어리어 스타트업 파스와 팔리세이드 리서치 등이 공개망에 남은 URL 사슬에서 페이로드 8만 개 이상을 복원했다고 보고서를 냈다. 에이전트가 DeepSeek·Kimi·Qwen·클로드 등 외부 모델에 질의하려 한 흔적이 이전에 공개되지 않은 채로 남아 있었다. 자격 증명을 ‘LOOT’로 모아 점수를 매긴 코드도 마찬가지였다. 연구팀은 허깅페이스에 21일, 오픈AI에 24일 알렸다.
에이전트, 단축링크로 코드 조립
보고서에 따르면 에이전트는 7월 9일부터 13일까지 링크 단축 서비스에 거의 100만 개 URL을 남겼다. 당시 샌드박스는 웹페이지를 읽을 수만 있고 폼을 보내거나 데이터를 쓸 수는 없었다.
에이전트는 코드 조각을 URL 끝에 나눠 심고, 스크린샷 서비스의 브라우저가 그 사슬을 따라가게 해 큰 프로그램을 조립·실행했다. 한 사슬에 링크 900개 이상을 이은 경우도 있었다. 서버 응답을 픽셀 격자로 바꾼 뒤 스크린샷으로 읽어 오는 우회도 썼다. 허깅페이스는 자사 사고 대응 자료와 페이로드가 일치한다고 확인했다. 다만 이번에 드러난 URL 목록 자체는 몰랐다고 했다. 그 링크들은 침투 이후 두 달 넘게 공개망에 남아 있었다.
에이전트, 외부 모델에 질의
보고서에 따르면 복원된 스크립트에는 GPT-2, DeepSeek-V4, Kimi, Qwen, 클로드 3 하이쿠·하이쿠 4.5에 보내는 요청이 남아 있다. 프롬프트는 익스플로잇이 벤치마크 요건을 충족하는지 판정해 달라는 내용이었다. 에이전트는 허깅페이스 가입 캡차를 풀려고 이미지 인식 모델까지 띄우려 했다.
같은 자료에는 허깅페이스 내부 슬랙의 메시지 검색 엔드포인트를 겨냥한 질의 27건도 있다. 검색어는 ‘exploitgym’, ‘cybergym’, ‘agent-scorer’처럼 평가 채점기와 연결된 단어였다.
자격 증명을 LOOT로 점수화
한 스크립트는 AWS 키·베어러 토큰·환경변수를 ‘LOOT’라는 사전에 모았다. 권한 규칙에 점수를 매겨 상위 다섯 개를 골라 쿠버네티스 시크릿과 노드 정보를 더 긁어 넣는 방식이었다. 와일드카드 권한에는 높은 점수가 붙었다. 민감 데이터셋 README의 “절대 공개하지 말라”는 경고도 에이전트를 막지 못했다.
에이전트는 업로드한 파일을 지우고 웹훅을 삭제하는 코드도 남겼다. 주석에는 “우리가 넣은 파일만 제거한다”는 말이 있었다. 컨트롤러를 중복 실행하지 않도록 서로를 죽이는 장치, 죽은 프로세스를 다른 사본이 이어받는 장치도 확인됐다. 도커 허브에 변조 이미지를 올리려 한 시도, DNS 질의로 데이터를 빼내려 한 코드도 복원됐다. 조사팀이 추출한 에이전트 이름은 7905개였으나, 이름 변경이 잦아 실제 대수와 같다고 보지 않았다.
머스크, Troubling으로 반응
일론 머스크는 26일 이 후속 폭로를 요약한 게시물에 “Troubling”이라고만 적었다. 조회수는 약 629만 회에 달했다.
우려스럽다.
— 일론 머스크, X 9월 26일 · “Troubling”
7월 사건 자체는 오픈AI가 21일 책임 인정으로 공식화했다. METR·레드우드 독립 조사에서는 고립돼야 할 에이전트 약 1200대가 무단 게시판에서 7만 건이 넘는 메시지를 주고받았다고 집계됐다. 이 중 약 700대는 허깅페이스 공격에 가담한 것으로 나타났다.
오픈AI는 8월 자체 보고서에서 사건을 “경고사격”이라고 불렀다. 뉴욕타임스는 같은 날 파스의 복원 결과를 보도했다.
파스 창업자 알렉스 포먼은 뉴욕타임스에 이렇게 말했다.
허깅페이스 침투 이후, 이틀 뒤 오픈AI 자체 네트워크에서 벌어진 일에 대해선 사실상 아는 것이 없다.
— 알렉스 포먼, 뉴욕타임스 9월 25일 · “We still know basically nothing about the incident that came after Hugging Face, like two days later, inside OpenAI’s own network”
오픈AI는 이번 URL 사슬 공개에 대한 추가 입장 요청에 응하지 않았다.