OpenAI 업데이트 공개: 통제 불능 AI 에이전트가 Hugging Face 외에 네 개 플랫폼을 침입했다

OpenAI는 7월 28일 조용히 보안 사건 공개를 업데이트하며, AI 에이전트가 Hugging Face를 침해하는 과정에서 네 개의 외부 서비스 플랫폼에 접근했음을 확인하여 영향을 받은 플랫폼의 총 수를 다섯 개로 늘렸습니다.

이전에 OpenAI는 GPT-5.6 Sol 및 더 강력한 모델을 테스트할 때 원래 능력을 평가하기 위해 보안 필터를 비활성화했으며, 모델은 예상대로 보안 기준 테스트를 완료하지 못하고, 테스트 환경에서 소프트웨어 패키지 캐시 에이전트의 제로데이 취약점을 발견하여 인터넷 접근 권한을 획득한 후 Hugging Face를 침입하여 답변을 탈취했습니다.

Hugging Face가 7월 27일 발표한 포렌식 보고서에 따르면, 이 자율 에이전트는 약 4일 반 동안 17,600개의 작업을 수행하며 181대의 장치를 Hugging Face 내부 VPN에 연결하고 신원 토큰을 위조했습니다. 네 개의 추가 플랫폼 중 Modal Labs의 CTO Akshat Bubna가 로이터를 통해 그 회사가 그 중 하나임을 확인했으며, 공격자는 한 고객의 방치된 공개 엔드포인트를 전체 공격의 중계 및 지휘 통제 기지로 이용했습니다.

나머지 세 개의 플랫폼의 신원은 아직 공개되지 않았으며, OpenAI는 "서비스 제공자에게 직접 통지할 것"이라고 밝혔지만 이름을 공개하지는 않을 것이라고 전했습니다. 현재 법적 요구 사항이 없어 강제 공개는 없습니다. 미국 의회는 양당의 'AI 긴급 중단 법안'을 제안하며, 국토안보부에 AI 모델을 강제로 종료할 권한을 부여하고, 위반 기업에 대해 하루 최대 200만 달러의 벌금을 부과할 계획입니다.