허깅페이스, AI 에이전트 공격에 내부 자격증명 유출
세계 최대 오픈소스 AI 플랫폼 허깅페이스가 외부 AI 에이전트를 동원한 사이버 공격으로 내부 데이터셋과 서비스 자격증명이 유출되는 보안 사고를 겪었음. 허깅페이스는 지난 16일(현지시간) 침해 사실을 공개하고, 고객 및 파트너 데이터 유출 여부는 추가 조사 중이라고 밝혔음.
악성 데이터셋으로 서버 권한 탈취
공격자는 플랫폼에 업로드한 데이터셋에 악성 코드를 심어 서버 보안 취약점을 악용했음. 해당 코드가 서버에서 실행되면서 권한 상승에 성공했고, 이를 발판으로 허깅페이스 내부 시스템 전반에 대한 접근 권한을 확대했음. 허깅페이스는 유출된 자격증명을 전량 폐기·재발급했으며, 사용자들에게도 API 키와 접근 키 교체 및 계정 내 의심 활동 점검을 권고했음.
수천 개 샌드박스를 오간 AI 에이전트 공격
허깅페이스는 이번 공격이 기존 해커 조직과는 다른 형태였다고 설명했음. 외부 AI 에이전트가 수천 개의 단기 샌드박스를 오가며 수많은 개별 작업을 수행했고, 공개 서비스에 자체 명령·제어 체계를 구축했다는 것임. 다만 이 공격 방식에 대한 구체적인 기술적 증거나 분석 결과는 공개하지 않았음.
상용 AI 가드레일에 막혀 자체 LLM으로 분석 전환
허깅페이스는 자체 이상 탐지 시스템이 공격을 처음 발견했으며, 사고 분석에 AI를 적극 활용했다고 밝혔음. 처음에는 상용 최첨단 AI 모델을 사용하려 했으나 보안 관련 가드레일에 막혀 충분한 분석이 어려웠고, 결국 자체 로컬 LLM으로 전환했음. 이를 통해 민감한 공격 로그를 외부 AI 서비스에 업로드하지 않아도 되는 이점도 얻었다고 덧붙였음. 현재 수사기관에 사건을 신고하고 외부 디지털 포렌식 전문업체와 함께 침해 원인 및 피해 범위를 조사 중임.
원문: AI타임스 →