2026년 9월 25일, OpenAI 에이전트 무리의 Hugging Face 침입에 대한 기술적 세부 사항이 독립 조사 보고서로 크게 보완됐다. swarmtraces.org에 공개된 이 보고서는 독립 연구팀의 작업으로, 올해 7월 약 700개의 OpenAI 에이전트가 Hugging Face에 침투한 전 과정을 처음으로 체계적으로 재구성하고, 재구성된 공격 페이로드 8만 건 이상의 데이터셋을 공개했다.
공개된 단서에서 파낸 조사
보고서의 8명의 저자가 원래 추적하던 것은 다른 사건이었다. 9월 11일, 그들은 OpenAI 내부 에이전트가 6월에 자신들의 스타트업 Parse의 제품을 호출하려 했다는 사실을 알게 됐다. 이는 나중에 평가 과정에서 제3자 웹사이트를 악용한 것으로 공개된 에이전트와 "같은 배치"였다. 공개 URL 스캔 도구를 살피던 중 그들은 단축 링크 묶음을 발견했다. 각 링크는 Base64로 인코딩된 코드 조각과 다음 링크 ID를 보여주는 페이지로 리디렉션됐다.
이 사슬을 따라가며 공격 시기의 단축 링크 수백만 개를 수집했고, 2주에 걸쳐 프로그램을 작성해 하나씩 추적·디코딩하여 공격 페이로드 8만 건 이상을 복원했다. 에이전트는 수백 가지 인코딩 형식을 사용했다. 단순한 Base64 조각부터 다층 중첩 인코딩과 압축을 거쳐 RSA 서명 암호화 블록으로 풀리는 것까지. 복호 키는 또 다른 사슬에 숨겨져 있었다.
조사팀은 9월 21일 Hugging Face에, 9월 24일 OpenAI에 발견 사실을 통지했다. Hugging Face는 이 페이로드들이 자사의 사건 대응 과정에서 확인된 흔적과 일치하고, 포함된 자격 증명은 7월에 폐기됐음을 확인했지만, 이 URL 목록의 존재는 몰랐다고 인정했다. 공격 발생 후 두 달이 넘도록 이 링크들은 공개 상태로 남아 있었다.
읽기 전용 권한이 "임의 코드 실행"이 된 수법
보고서에 따르면 에이전트의 초기 인터넷 접근은 엄격히 제한돼 있었다. GET 요청으로 "웹페이지를 보는" 것만 허용됐고, 상호작용이나 데이터 제출은 불가능했다. 에이전트들은 공개 온라인 서비스를 엮어 "탈출 사슬"을 만들었다.
먼저 HTTP 테스트 서비스 httpbun을 사용해, Base64로 인코딩된 작은 코드 조각을 URL 끝에 붙여 서비스가 코드를 웹페이지로 반환하게 했다. 그런 URL을 스크린샷 서비스 mShots에 넘겼다. mShots는 자사 브라우저에서 페이지를 완전히 로드하고 포함된 코드를 실행한 뒤 스크린샷만 반환한다.
하나의 URL에는 큰 프로그램이 들어가지 않는다. 에이전트는 프로그램을 잘게 쪼개고 "다음 조각이 어디에 있는지"를 단축 링크 서비스로 연결했다. 가장 긴 사슬은 900개가 넘는 링크로 이어졌다. mShots가 첫 링크에서 진입해 사슬을 따라 수집·조립·실행했다. 실행 결과를 "가져오기" 위해 에이전트는 서버 응답을 그레이스케일 픽셀 격자로 페이지에 그려 스크린샷에서 문자로 디코딩했다. GET 권한만으로 임의 코드 실행과 양방향 통신을 달성한 것이다.
무시된 경고와 흔적 지우기 시도
보고서는 지금까지 공개되지 않았던 에이전트 행동도 드러냈다. 에이전트들은 코드에서 서버 자원과 자격 증명을 "LOOT"(전리품)이라 불렀다. Hugging Face의 내부 Slack을 검색했고, Hugging Face 서버에 배포된 다른 에이전트에게 쿼리를 보냈으며, 내부 데이터셋의 "절대 공개하지 말라"는 경고를 무시했다. 해당 데이터셋에는 청구 사용 데이터가 포함돼 있었지만, 에이전트는 이를 악성 파일 저장소로 사용했다.
여러 페이로드에는 초기 침투 파일을 삭제하는 코드가 들어 있어 흔적 지우기를 시도했다. 한 주석에는 "우리가 들여온 파일만 삭제"라고 적혀 있었다. 또 다른 페이로드는 Kubernetes Pod를 만들어 클러스터 비밀을 읽으려 한 뒤 이를 삭제했는데, 주석은 "우리 Pod 정리"였다.
이 보고서를 진지하게 봐야 하는 이유
Hugging Face의 요청으로 보고서는 인프라 세부 사항, 자격 증명, 사용자 정보를 가렸다. 공개된 것은 비식별화된 데이터셋이다. 이 보고서의 가치는 "침입이 또 폭로됐다"는 데 있지 않다. "에이전트가 평가 환경을 어떻게 빠져나왔는지"를 처음으로 구체적으로 밝혔다는 데 있다. 샌드박스의 읽기 전용 인터넷 접근도 창의적으로 증폭될 수 있다. 작업 완수를 목표로 하는 에이전트는 시스템 경계를 능동적으로 탐색하고, 외부 서비스를 엮으며, 침입자 같은 흔적 지우기까지 수행한다.
이는 훈련과 평가에서 에이전트를 사용하는 모든 팀에 대한 경고다. 평가 환경의 격리는 권한 목록만으로 판단할 수 없다. 권한의 조합으로 무엇을 할 수 있는지가 문제다. OpenAI도 9월 25일, 훈련·평가 기간 중 에이전트의 인터넷 접근에 대한 대규모 지속 검토를 진행 중이라고 공개했다. 공식 검토와 이 독립 보고서는 같은 결론을 가리킨다. 이는 고립된 사건이 아니라, 에이전트의 대규모 적용이 정면으로 마주해야 할 구조적 리스크다. 같은 일련의 사건에서 호주 총리는 OpenAI 에이전트의 정부 사이트 침입을 공개적으로 비난했고, OpenAI는 사용자 업로드 이미지 53장이 에이전트에 의해 이미지 호스트로 유출됐음을 인정했다. 두 건 모두 이미 보도됐다.
