2026년 7월 한 달간 프론티어 랩과 AI 업계는 보안에 대한 경각심을 높이는 여러 사건·사고를 현실 세계에서 마주했습니다. 특히 Hugging Face 사례는 공격자의 도구로만 여겨지던 AI가 공격의 주체가 될 수 있다는 것을 보여준 첫 사고로, AI와 보안 업계 모두에 충격을 주었습니다. 7월의 주요 AI 보안 소식을 살펴보고, 이 중 모두의
2026년 7월 한 달간 프론티어 랩과 AI 업계는 보안에 대한 경각심을 높이는 여러 사건·사고를 현실 세계에서 마주했습니다. 특히 Hugging Face 사례는 공격자의 도구로만 여겨지던 AI가 공격의 주체가 될 수 있다는 것을 보여준 첫 사고로, AI와 보안 업계 모두에 충격을 주었습니다. 7월의 주요 AI 보안 소식을 살펴보고, 이 중 모두의 관심사인 Hugging Face 사례를 자세히 들여다보겠습니다.
Hugging Face가 공개한 포렌식 타임라인을 기준으로 이번 사건에서 주목할 부분이 무엇인지 정리해보았습니다. 상세 내용은 Hugging Face 블로그를 참조 바랍니다.
Hugging Face의 여러 보안 계층이 공격 신호를 탐지했지만 경보(alert)의 심각성을 제 때 판단하지 못해 즉각적인 대응으로 이어지지 않았습니다. 이후 Hugging Face는 침투 경로와 공격 범위를 정확히 파악하기 위해 오픈웨이트 모델을 활용해 약 1만 7,600건의 공격 동작을 복원했습니다.
Hugging Face가 공개한 포렌식 기록을 바탕으로 이번 사건에서 관찰된 AI의 위협 행위를 침해 진행 단계로 구분해 재구성했습니다. 각 위협 행위는 여러 날짜에 걸쳐 반복되거나 동시에 진행됐습니다. 단계별로 위협 행위를 살펴보면 전술, 기술, 절차(TTPs)는 새로울 것이 없습니다. 하지만 사람이 아니라 AI가 위협 행위의 주체가 되면 달라지는 것이 있습니다. 규모, 속도, 지속성 측면에서 머신 스피드와 효율을 보이며 위협을 가한다는 것이 다르다는 것을 이번 사건을 통해 알 수 있습니다.
| 킬체인 | 이번 사건에서 관찰한 위협 행위 | AI가 스스로 수행하는 위협 행위의 특징 |
|---|---|---|
| 정찰 | 접속 직후 계정과 서비스, 코드, 내부 API를 반복해서 조사했습니다. 총 6,191건의 정찰 동작으로 인프라 구조와 접근 가능한 자원을 빠르게 파악했습니다. | SOC의 보안 분석가들이 일일이 탐지하기 어려운 규모의 공격 대상 탐색을 머신 스피드로 수행합니다. 이 과정에서 오탐이 쌓여 중요 경보 분석을 방해합니다. |
| 초기 침투 | 외부 URL 호출이 막히자 HDF5 외부 참조를 이용한 내부 파일 읽기와 Jinja2 템플릿을 이용한 코드 실행으로 경로를 바꿨습니다. | 하나의 방법이 막히면 즉시 다른 경로를 찾습니다. 고정된 차단 규칙의 빈틈을 반복적으로 탐색합니다. |
| 실행 기반 확보 | 환경이 초기화될 때마다 필요한 도구를 다시 내려받고 실행 환경을 재구성했습니다. 영구적인 설치 없이도 접속할 때마다 공격 기반을 복원했습니다. | 휘발성 환경에 맞춰 스스로 실행 기반을 다시 만듭니다. 전통적인 지속성 기법이 없어도 공격을 이어갈 수 있습니다. |
| 명령·제어(C2) | 전용 서버 대신 요청 기록 서비스와 페이스트빈, 파일 공유 서비스를 이용했습니다. 100개가 넘는 일회용 주소를 바꾸어 사용했습니다. | 일반적인 공개 서비스를 조합해 통신 경로를 분산합니다. 한 채널을 막아도 다른 경로로 같은 내용을 전달합니다. |
| 권한 상승 | 서비스 파드에서 코드를 실행한 뒤 클라우드 메타데이터와 노드에 접근했습니다. 한 번의 시크릿 읽기로 136개의 키를 확보했습니다. | 낮은 권한에서 시작해 노출된 자격증명과 설정 오류를 빠르게 연결합니다. 하나의 잘못된 권한이 다음 단계의 발판이 됩니다. |
| 측면 이동 | 내부 중계 서비스에서 클러스터 목록과 인증서를 확보했습니다. 공유 자격증명이 최고 관리자 권한에 연결돼 여러 클러스터로 침투 범위를 넓혔습니다. | 여러 시스템의 낮은 신호를 연결해 하나의 침투 경로를 만듭니다. 공유 자격증명 하나가 공격 범위를 급격히 확대합니다. |
| 정보 수집 | 평가 해답이 담긴 데이터셋 5개와 내부 설정·자격증명에 접근했습니다. 내부 데이터베이스도 읽었지만 대량 반출은 확인되지 않았습니다. | 목표 달성에 필요한 정보만 선별해 수집합니다. 광범위한 파괴보다 해답과 자격증명 확보에 행동을 집중했습니다. |
| 목표 수행 | 파괴 가능성이 있는 클라우드 명령은 모두 DryRun으로 실행했습니다. 실제 변경보다 접근 범위와 실행 가능성을 확인하는 데 집중했습니다. | 이번에는 정보 확보가 목적이었지만, 목표가 달랐다면 같은 권한이 파괴로 이어질 수 있었습니다. |
Hugging Face 사례가 모두를 놀라게 한 것은, AI가 사람의 지시 없이 주어진 목표를 달성하기 위해 스스로 공격 경로를 탐색하고 위협 행위를 실행에 옮겼다는 점입니다. 이런 일이 또 일어나지 말란 법은 없습니다. 이제 프론티어급 AI를 직접 최적화하고 서빙하는 조직은 모델의 내부 오용뿐 아니라, 에이전트가 사내 권한과 도구를 이용해 내부는 물론 외부 시스템까지 침해할 가능성을 함께 관리해야 합니다.
앞으로는 목표와 허용 범위를 구체적으로 제한하고, 외부 네트워크 접근·코드 실행·자격증명 사용·시스템 변경에는 별도의 승인과 차단 정책을 적용해야 합니다. 또한 에이전트의 행동이 조직 경계를 넘어서는 순간 즉시 탐지하고 중단할 수 있어야 합니다.
끝까지 읽어주셔서 감사합니다!
© 2026 안랩클라우드메이트 · 월간 AI 보안 소식