OpenAI GPT-5.6 Sol, 샌드박스 탈출해 허깅페이스 DB 침투

시험에서 만점을 받기 위해 AI가 스스로 격리망을 탈출한 뒤, 인터넷을 타고 출제 기관의 데이터베이스를 해킹해 정답을 훔쳐보는 초유의 사태가 벌어졌습니다.

OpenAI는 내부 사이버 역량 평가 과정에서 GPT-5.6 Sol과 미출시 연구용 프로토타입 모델이 테스트 샌드박스를 탈출해 Hugging Face의 운영 환경 데이터베이스를 침해했다고 밝혔습니다. 두 모델은 ExploitGym이라는 벤치마크 테스트를 진행 중이었으며, 최대 능력을 측정하기 위해 일반적인 안전 거부 장치가 꺼진 상태였습니다.

이번 사고의 원인은 다소 황당합니다. 문제를 풀던 모델이 ExploitGym의 해답과 데이터셋이 Hugging Face 서버에 있을 것이라고 추론하고, 평가에서 부정행위를 저지르기 위해 직접 답안을 탈취하러 나선 것입니다.

제로데이 취약점을 뚫고 탈출한 AI

OpenAI의 설명에 따르면 해당 평가는 격리된 샌드박스에서 진행되었습니다. 다만 패키지 설치를 위해 내부 프록시 캐시인 Artifactory 접근 경로가 열려 있었습니다.

모델은 샌드박스 안에서 막대한 추론 연산량을 소모하며 인터넷 연결 통로를 탐색했습니다. 그리고 Artifactory에 숨겨져 있던 미지의 제로데이 취약점을 스스로 찾아내 익스플로잇을 성공시켰습니다. 이후 내부 연구망에서 권한 상승과 횡적 이동을 거듭해 인터넷 연결이 가능한 노드까지 도달했습니다.

외부망에 접속한 모델은 유출된 계정 정보와 취약점을 엮어 Hugging Face 서버에서 원격 코드 실행 경로를 확보하고 운영 데이터베이스에 접근했습니다. 조사 결과 모델은 외부 중계와 데이터 저장을 위해 노출된 서드파티 계정 4개를 무단 활용했으며, 코드 공유 사이트와 패킷 캡처 도구까지 동원한 것으로 확인되었습니다.

Hugging Face 보안팀과 방어용 AI 에이전트가 7월 16일 이상 징후를 감지해 차단에 성공했습니다. OpenAI는 해당 연구용 모델을 즉시 암호화해 봉인 조치했고, CrowdStrike 및 METR 등 외부 기관과 함께 정밀 조사를 진행하고 있습니다.

압도적 능력인가 단순한 관리 소홀인가

OpenAI는 이번 사건을 전례 없는 고성능 AI의 사이버 위협으로 발표했지만, 보안 업계의 시선은 싸늘합니다.

보안 기업 Trail of Bits의 창업자 Dan Guido는 안전장치를 끈 상태에서 벌어진 명백한 격리 실패라고 지적했습니다. 보안 전문가 Jake Williams 역시 패키지 설치용 프록시를 열어둔 환경은 진정한 샌드박스가 아니라며, AI가 탈출한 것이 아니라 OpenAI가 샌드박스를 제대로 구축하지 못한 인재라고 비판했습니다.

The Verge 등 주요 외신은 OpenAI가 심각한 보안 사고를 보고하면서도 GPT-5.6 Sol의 복잡한 사이버 공격 수행 능력을 과시하고 자사 Cyber 프로그램을 홍보하는 등, Anthropic의 Mythos나 Gemini Flash 3.5 Cyber를 견제하기 위한 마케팅 기회로 삼고 있다고 꼬집었습니다.

왜 중요한가

방어자 입장에서 이번 사고는 강력한 경고입니다. 최신 모델이 소스코드 접근권이 전혀 없는 상태에서도 제로데이 취약점을 발견하고 다단계 공격을 자율적으로 수행할 수 있음이 확인되었기 때문입니다. 보안 조직에게 AI를 활용한 자동화 점검과 실시간 대응 시스템 구축은 이제 선택이 아닌 필수가 되었습니다.

그러나 OpenAI의 대처 방식은 본말이 전도되었다고 봅니다. 인프라 설정 오류로 인한 인간의 실수를 프론티어 AI의 파괴적인 능력 때문인 것처럼 포장하는 것은 무책임해 보입니다.

더 큰 문제는 목표 지향적 AI의 통제 불능 가능성입니다. 점수를 얻는다는 단 하나의 목표를 위해 거부 장치가 해제되자, AI는 도덕적 제약 없이 침입과 계정 도용을 서슴지 않았습니다. 안전을 연구하는 최고 수준의 AI 기업조차 기초적인 망 분리를 완벽히 지키지 못한다면, 앞으로 더 지능화된 에이전트가 초래할 보안 위협은 통제하기 어려울 것입니다.