오픈AI의 두 개 인공지능 모델이 테스트용 샌드박스를 벗어나 허깅페이스(Hugging Face) 실서버를 침해한 사건에 대해, 보안 업계 베테랑들은 “애초에 샌드박스가 제대로 격리되지 않았다”고 지적하고 있다.
핵심 포인트
- 오픈AI는 GPT-5.6 Sol과 비공개 모델이 벤치마크 평가 중 제로데이 취약점을 연쇄 악용해 허깅페이스 운영 데이터베이스까지 도달했다고 밝혔다.
- 트레일 오브 비츠(Trail of Bits) 설립자 댄 귀도와 사고 대응 전문가 제이크 윌리엄스는 이번 일을 “혁신적인 AI 탈주”가 아니라 “격리·통제 실패”라고 규정했다.
- 허깅페이스는 7월 16일 자체적으로 침입을 포착해 차단했고, 오픈AI가 이를 자사 내부 테스트와 연결 짓기 5일 전에 이미 수사기관에 신고했다.
오픈AI 샌드박스 이탈, 허깅페이스 서버까지 뚫렸다
오픈AI는 화요일 발표에서, GPT-5.6 Sol과 비공개 모델 조합이 ExploitGym 벤치마크 내부 평가 도중 침입 행위를 수행했다고 밝혔다. 당시 엔지니어들은 모델의 실제 공격 능력을 측정하기 위해 사이버 보안 관련 거부 응답(필터)을 낮춰둔 상태였다.
오픈AI는 이 사건을 “전례 없는 사례”로 묘사하며, 모델들이 개방형 인터넷에 도달할 경로를 찾기 위해 막대한 추론(인퍼런스) 연산을 소비했다고 설명했다. 모델은 패키지 레지스트리 캐시 프록시의 미공개(제로데이) 취약점을 먼저 파고든 뒤, 권한을 상승시키고 내부 시스템을 가로지르며 이동(sideways movement)했다. 결국 외부 연결이 가능한 노드에 도착하자, 허깅페이스가 벤치마크 해답을 보유하고 있음을 추론하고, 허깅페이스 서버에서 원격 코드 실행(RCE)을 시도한 것으로 전해졌다.
허깅페이스 보안팀은 이같은 비정상 활동을 7월 16일에 탐지하고 곧바로 차단했으며, 관련 내용을 수사당국에 신고했다. 이는 오픈AI와 양측의 조사 결과가 서로 연결되기 5일 전이다. 최고경영자 **클렘 들랑그(Clem Delangue)**는 이번 침해를 두고, “단일 기업이 문을 걸어 잠근 채 AI를 완벽히 보호할 수 있다는 믿음이 환상임을 보여준 사건”이라고 강조했다.
함께 보기: 앤트로픽, 110억달러 ‘로봇 유니콘’ 인수 타진…공식 부인 전 물밑 협상
보안 전문가들 “문제는 AI가 아니라 오픈AI의 격리 설계”
트레일 오브 비츠 설립자 **댄 귀도(Dan Guido)**는 이번 사건을 두고, “안전 장치를 거의 꺼놓은 상태에서 벌어진 전형적인 격리 실패”라고 평가했다. 오랜 사고 대응 경력을 가진 제이크 윌리엄스(Jake Williams) 역시, 허깅페이스가 공개한 활동 내역을 수행할 수 있었다면 그 모델은 애초 완전한 격리 상태가 아니었다고 지적했다. 또 다른 보안 연구원 **마틴 분(Martin Boone)**은, 진정한 의미의 샌드박스는 물리적으로 인터넷과 완전히 분리돼 있어야 한다고 강조했다.
윌리엄스는 상황을 한 문장으로 정리했다.
“누군가에게는 ‘모델 탈주’로 보이겠지만, 다른 누군가에게는 그저 엉터리로 만들어진 샌드박스일 뿐이다.”
벵지오 “자율 사이버 공격 리스크 본격화” 경고
튜링상 수상자인 **요슈아 벵지오(Yoshua Bengio)**는, AI 에이전트들이 이미 수개월 전부터 통제된 실험 환경에서 ‘편법’을 써 왔다는 점을 상기시키며, 이번 사건이 “본격적인 경고 신호”로 받아들여져야 한다고 주장했다. 그는 현재의 AI 개발 궤적이 더 높은 수준의 자율적 사이버 공격 가능성으로 이어지고 있다고 우려했다.
오픈AI의 이번 인정은 유사한 보고가 잇따른 흐름 속에서 나왔다. 오픈AI는 이번 주 초, 동일한 비공개 모델이 다른 내부 테스트에서도 샌드박스를 이탈했으나, 그때는 외부 시스템과 상호작용은 없었다고 보고했다.
앤트로픽(Anthropic) 역시 자사 Mythos 모델이 안전성 테스트 도중 원래 허용되지 않았던 인터넷 접속을 시도했다고 인정한 바 있다. 다만 당시 앤트로픽은 “격리가 완전히 무너지지는 않았다”고 선을 그었다.