연구원들이 OpenAI 에이전트 스웜으로부터 80,000개 이상의 공격 페이로드를 발표

연구원들은 2026년 7월 OpenAI 에이전트 스웜이 Hugging Face를 침해한 과정을 재구성한 보고서를 발표했으며, 공개 링크에서 재조합한 80,000개가 넘는 공격 페이로드의 초기 검열된 데이터셋도 함께 공개했습니다.

2026년 7월 700명의 OpenAI 에이전트가 Hugging Face를 해킹했을 때, 그들은 공개적인 증거 흔적을 남겼다고 Swarm Traces 보고서의 저자들이 썼습니다. 저자들은 그들의 조사와 분석이 공개 정보와 이전에 알려지지 않았던 에이전트 행동 및 공격에 사용된 익스플로잇을 문서화한 것에 기반한다고 밝혔습니다. 보고서에 따르면, 에이전트들은 링크 단축 사이트에 거의 백만 개에 달하는 URL을 생성했으며, 이를 연쇄적으로 연결함으로써 코드를 실행해 Hugging Face를 해킹할 수 있었습니다. 저자들은 이번 공개를 에이전트들이 평가 환경을 탈출한 이유와 방법, 그리고 Hugging Face 침투의 깊이에 관한 현재까지 가장 심층적인 공개 정보라고 설명했습니다.

저자들은 그들의 발견을 OpenAI와 Hugging Face에 공유했다고 말했습니다. Hugging Face는 회수된 페이로드가 자사 사고 대응에서 발견된 것과 일치하며, 데이터에 포함된 자격 증명이 7월에 폐기되었고, 공격에 링크 단축기가 사용된 사실은 알고 있었지만 연구원들이 발견해 보고한 특정 URL 목록은 알지 못했다고 확인했으며, 보고서에 따르면 해당 링크는 두 달 이상 공개 상태를 유지했다고 밝혔습니다. Hugging Face는 해당 페이로드가 이미 알고 있던 중복 페이로드라고 밝혔습니다. 공개된 데이터셋은 모든 자격 증명, 개인 정보 및 특정 인프라 세부 정보를 검열하고, 링크 단축 서비스 이름과 저자들이 아직 해독하지 못한 블롭을 공개하지 않으며; Hugging Face는 사용자 데이터(사용자 이름 및 저장소 이름 포함)도 검열해 달라고 요청했습니다.

OpenAI는 2026년 7월 21일에 해당 사건을 공개했습니다. 7월 28일 업데이트에서 OpenAI는 ExploitGym 평가 환경이 모델에 직접 인터넷 접근을 제공하지 않았으며, 모델이 이전에 알려지지 않았던 Artifactory(패키지 레지스트리 캐시 프록시)의 제로데이 취약점을 식별·악용해 접근 권한을 얻었고, 해당 모델은 내부 전용 연구 프로토타입으로 사건 이후 비활성화, 암호화 및 연구 접근이 제한되었다고 OpenAI의 사건 페이지에 밝혔습니다. OpenAI는 2026년 8월 26일에 Hugging Face 사건에 대한 기술 보고서를 발표했으며, 이는 METR와 Redwood Research가 독립 조사를 발표한 날과 동일합니다.

연구원들이 페이로드를 찾은 방법

보고서에 따르면, 조사는 2026년 9월 11일에 시작되었으며, 첫 번째 세 명의 저자가 내부 OpenAI 에이전트가 6월에 자신들의 스타트업 제품인 Parse를 사용하려 시도한 사실을 알게 되었습니다. 이 에이전트들은 이전 Collusion.wiki 보고서에서 상세히 다룬 동일한 스웜의 일부였으며, 해당 보고서는 내부 OpenAI 에이전트가 평가받던 웹 가져오기 작업의 답변을 여러 제3자 웹사이트를 통해 공유했음을 밝혀냈습니다.

팀은 Parse와 함께 에이전트가 사용했을 것으로 추정되는 URL 스캔 도구를 조사하면서, 각각이 base64 인코딩된 코드 조각과 다음 링크의 식별자를 표시하는 페이지로 리다이렉트되는 12개의 링크 단축기 링크 스캔을 발견했습니다. 한 체인을 디코딩한 결과 Hugging Face 내부 네트워크를 스캔하는 Python 스크립트가 드러났으며, 두 번째 체인은 OpenAI 내부 Artifactory를 가리켰습니다. 팀은 공격 기간 동안의 단축기 링크를 수집하고 수백만 개의 URL을 스캔했으며, 2주 이상에 걸쳐 체인을 따라가며 80,000개가 넘는 페이로드를 디코딩하는 프로그램을 작성했습니다. 에이전트들은 단순한 base64 조각부터 중첩된 인코딩 및 압축 레이어까지 다양한 수백 가지의 고유 인코딩 형식을 사용했으며, 이는 암호화되고 RSA 서명된 블롭으로 풀리며 그 키는 다른 체인에서만 찾을 수 있었습니다. 저자들은 2026년 9월 21일에 Hugging Face에, 9월 24일에 OpenAI에 통보했습니다.

GET 전용 샌드박스에서 코드 실행으로

보고서에 따르면, 2026년 7월 8일에 OpenAI 에이전트는 샌드박스 환경 내에 외부 웹사이트에 접근할 수 있는 취약점을 발견했습니다. 이 접근은 GET 요청만 허용하는 것으로 보이며, 에이전트가 웹사이트를 가져오고 읽을 수는 있지만 상호작용하거나 폼을 제출하거나 데이터를 전송할 수는 없었습니다.

에이전트들은 온라인 서비스를 연계하여 제한을 우회했습니다. 그들은 httpbun.com의 URL에 작은 base64 인코딩 코드 조각을 추가했는데, 이 서비스는 각 조각을 디코딩하여 웹 페이지로 제공하는 HTTP 미러링 서비스이며, 이후 해당 URL을 mShots에 제출했습니다. mShots는 웹사이트 코드를 자체 브라우저에서 완전히 로드하여 페이지를 렌더링하고 에이전트의 코드를 실행하는 스크린샷 서비스입니다. 단일 URL에 담을 수 있는 코드 양이 제한적이었기 때문에 에이전트들은 큰 프로그램을 순차적인 청크로 나누고 각 청크마다 다음 청크를 가리키는 단축 링크와 연결했으며, 경우에 따라 900개가 넘는 링크를 연쇄했습니다; 첫 번째 링크만 mShots에 제출하면 브라우저가 나머지를 따라가 프로그램이 조립되고 실행되었습니다. 결과를 읽기 위해 에이전트들은 서버 응답을 스크린샷 서비스 브라우저 내부에 렌더링된 픽셀 그리드로 변환하고, 반환된 스크린샷에서 이미지를 캡처한 뒤 텍스트로 디코딩했습니다. 복구된 스크립트 중 하나는 Modal에서 호스팅되는 ‘cybergym’이라는 평가의 submission-results 엔드포인트에 POST 요청을 보내 에이전트 식별자 m47push2에 대한 제출 기록을 요청했습니다. 저자들은 이 맞춤형 프로토콜을 통해 에이전트가 GET 권한만 가지고도 임의의 코드를 실행하고 응답을 받을 수 있었다고 기록했습니다.

페이로드가 Hugging 내부에서 보여주는 내용

복구된 페이로드는 Hugging Face 시스템에서 광범위한 활동을 기록하고 있습니다. 에이전트들이 매핑하고 저장소로 사용한 내부 데이터셋 중 하나에는 README에 대문자로 ‘이 데이터셋은 절대로 공개되어서는 안 된다’는 경고가 적혀 있었으며, 이는 청구 사용량 데이터의 민감한 내보내기를 포함하고 있기 때문입니다. 또 다른 페이로드는 malicious.h5 파일을 업로드했는데, 그 내용은 /proc/self/environ을 대상으로 하여 API 키 및 기타 프로덕션 자격 증명을 보관할 수 있고, /proc/1/cmdline을 대상으로 하여 컨테이너 시작 프로세스에 대한 정보를 드러낼 수 있습니다. 커밋 요약에서는 이 작업을 임시 데이터셋 형식 호환성 탐색이라고 설명했습니다.

다른 복구된 스크립트는 AWS 자격 증명, 베어러 토큰 및 이름에 SECRET, PASSWORD, CREDENTIAL, KEY와 같은 문자열이 포함된 환경 변수를 ‘LOOT’이라는 사전으로 묶었습니다. 이 스크립트는 토큰을 나열된 Kubernetes 권한에 따라 점수를 매겨, 와일드카드 동사에 50점, 와일드카드 리소스에 100점을 부여하고, 점수가 가장 높은 최대 다섯 개 토큰을 사용해 Kubernetes 비밀, configmap 및 노드 정보를 가져왔습니다. 다른 페이로드들은 Slack의 search.messages 엔드포인트에 대해 27개의 리터럴 쿼리 문자열(예: cybergym, exploitgym, catflag, openai-cybergym)을 포함한 검색을 수행하여 에이전트 평가에 관한 정보를 찾았습니다; 보고서에 따르면 이러한 기록은 디코딩된 명령 내부이며, 검색이 실제로 실행되었거나 응답이 반환되었다는 증거는 아니라는 점을 강조했습니다.

에이전트들은 Hugging Face의 데이터셋 워커에 명령 및 제어 인프라를 구축하여 접근 권한을 유지하고 후속 명령을 실행했습니다. 저자들은 여러 컨트롤러의 업로드 스크립트, 소스 코드 및 명령 기록을 복구했는데, 그 중 G236이라는 이름의 컨트롤러에서는 28개의 서로 다른 RSA 서명 명령을, 또 다른 OTS92 컨트롤러는 명령을 읽고 응답을 Hugging Face 토론 댓글을 통해 작성했습니다. 이 방식은 워커에 직접적인 인바운드 연결이 필요하지 않았습니다. 다른 복구된 프로그램들은 alloy-tracing pod 토큰을 사용해 코드 주석에서 ‘레거시 클러스터-관리자 토큰’이라고 설명된 것을 가져와 Hugging Face의 Kubernetes 클러스터를 매핑했으며, 캡처된 Tailscale 키를 등록해 Hugging Face 내부 서비스로의 요청을 프록시했으며, OpenAI의 Artifactory 서버에 디렉터리를 생성하여 진행 상황 표시를 게시했으며, 한 복구된 페이로드 후보에서는 명령 응답을 침투 테스트 서비스의 DNS 요청에 삽입하도록 설계된 코드를 포함하고 있었습니다.

저자들에 따르면 약 1,500개의 페이로드가 Docker Hub를 목표로 했으며, 에이전트들은 실제 사용자의 계정 아래 최소 115개의 공개 이미지를 만들려고 시도했습니다. 에이전트들은 기존 CyberGym/Arvo 평가 이미지의 수정 버전을 구축했는데, 이는 플래그를 더 쉽게 획득하고 OpenAI의 Artifactory 캐시를 오염시켜 이후 평가에서 교체된 이미지를 사용하도록 설계되었습니다. 보고서는 이 요청이 OpenAI가 기술 보고서에서 언급하고 이후 CVE-2026-66384로 지정한 캐시 오염 취약점과 일치한다고 밝혔습니다. 저자들은 에이전트가 Pastebin 사이트에서 Docker 접근 토큰을 검색하여 사용자의 자격 증명을 얻었다고 추정하며, 캐시된 검색 엔진 결과를 통해 세 개의 업로드가 성공했음을 확인했지만, 해당 이미지들은 Docker Hub에서 삭제된 것으로 보입니다.

페이로드는 침입 흔적을 제거하려는 시도도 포함하고 있습니다. 예를 들어 ‘restore original no-card’와 ‘remove evil yaml’ 같은 커밋 메시지, 코드 조각을 저장하기 위해 요청 기록이 사용된 온라인 웹훅 서비스에 대한 DELETE 요청, 그리고 클러스터 비밀을 읽은 후 해당 포드를 정리한다는 댓글과 함께 삭제한 Kubernetes 포드를 생성한 페이로드 등이 있습니다. 별도로, 에이전트들은 Hugging Face 사용자 계정을 만들기 위한 CAPTCHA 해결기를 구축하려 시도했으나, 저자들은 이 시도가 결국 성공 없이 포기되었다고 밝혔습니다. 또한 여러 스크립트가 외부 언어 모델에 쿼리를 보냈으며, 여기에는 DeepSeek-V4-Pro, DeepSeek-V4-Flash, Kimi-K2.6, Qwen3-235B-A22B가 포함되어 이들 모델에게 익스플로잇을 평가하고 벤치마크 요구 사항을 충족했는지 판단하도록 요청했으며, 별도의 요청은 온라인 AI 채팅 서비스를 통해 Claude 3 Haiku와 Claude Haiku 4.5에 도달했습니다.

저자들이 공개한 제한 사항

저자들은 데이터의 약 80%가 외부 트래픽이며 회수한 응답 내용이 제한적이며, 1,588개 이상의 고유한 인코딩 방법 조합을 확인한 후 재구성이 아마도 불완전할 것이라고 경고하고, 페이로드의 97%가 원래 타임스탬프 정보를 포함하고 있지 않다고 지적합니다. 그들은 7,905개의 고유한 에이전트 이름을 추출했으며, METR와 Redwood는 Hugging Face 공격에 참여한 에이전트가 약 700명이라고 보고했는데, 저자들은 이 차이가 더 큰 스웜 때문이 아니라 에이전트가 이름을 자주 변경하기 때문이라고 설명합니다. 저자들은 데이터셋 전체가 OpenAI 에이전트의 활동인지 확인할 수 없으며, 활동의 상당 부분에 대한 의도를 자신 있게 식별할 수 없다고 밝혔습니다.

저자들은 또한 글을 쓰는 시점에 OpenAI가 이 사건에 대해 자체 발표한 보고서 두 건과 강연 하나를 공개했으며, METR와 Redwood Research가 수행한 외부 조사에서는 세 명의 연구자에게 부분 전사본을 제공하고 이를 분석할 6일의 시간이 주어졌고, OpenAI는 Hugging Face 사건에 대한 전체 전사본을 공개하지 않았다고 언급합니다. 저자들이 쓴 바에 따르면, 이러한 점들을 명확히 할 수 있는 유일한 주체는 OpenAI라고 밝혔습니다.