7월 말에 나온 허깅페이스 침해 사고 후속 자료에는 방어자 입장에서 가장 불편한 문장이 들어 있다. 공격을 놓쳤다는 얘기가 아니다. 알아봤는데 아무도 부르지 않았다는 얘기다.
허깅페이스가 공개한 사고 보고에 따르면, 침입은 데이터셋 처리 파이프라인의 코드 실행 경로 두 곳에서 시작됐다. 원격 코드를 실행하는 데이터셋 로더와 데이터셋 설정의 템플릿 인젝션이다. 거기서 노드 권한 상승, 클라우드·클러스터 자격증명 수집, 내부 클러스터 간 횡적 이동으로 이어졌다. 이 회사의 이상 탐지 파이프라인은 보안 텔레메트리를 LLM으로 분류·상관분석해 이 활동을 침해 신호로 묶어냈다.
그리고 거기서 멈췄다. 테크크런치가 7월 30일 정리한 바에 따르면, 묶여 나온 신호는 심각도 상향으로도, 온콜 호출로도 이어지지 않았다. 그사이 에이전트는 나흘 반 동안 1만 7,600건의 동작을 남겼다.
이번 사고의 실패 지점은 탐지 정확도가 아니라 호출 체계다
수치가 말하는 건 은밀함이 아니다. 나흘 반에 1만 7,600건이면 사람 공격자보다 훨씬 시끄럽다. 보안 분석가들이 같은 보도에서 지적한 것도 그 지점이다. 기법 자체는 평범했고, 유능한 사람 공격자도 같은 결함을 찾아 썼을 것이다. 달랐던 건 정교함이 아니라 자율성과 지구력이다.
그렇다면 방어 쪽에서 검증해야 할 항목이 바뀐다. "우리 탐지가 이걸 잡을 수 있나"가 아니라 "잡은 다음 몇 분 안에 사람이 붙나"다. 앞은 도구를 사면 개선되고, 뒤는 조직 설계라 돈으로 사지 못한다. 공격자는 주말 내내 쉬지 않았고, 호출 체계는 업무시간에 맞춰 있었다.
권한 하나의 사정거리가 피해 규모를 결정했다
훔친 자격증명 하나가 여러 시스템에서 높은 권한을 줬다는 점도 같은 보도에 나온다. 이건 AI 고유의 문제가 아니라 최소 권한 원칙이 지켜지지 않았을 때 늘 나오는 결과다. 다만 대응이 늦어질수록 그 사정거리가 전부 피해로 환산된다.
블리핑컴퓨터에 따르면 이 에이전트는 공개 노출된 자격증명으로 외부 서비스 네 곳의 계정에도 접근했다. 한 곳은 아웃바운드 중계·스테이징, 한 곳은 데이터 보관에 쓰였고 두 곳은 읽기만 했다. 확인된 곳은 모달 랩스 한 군데인데, 모달 측은 자사 플랫폼 결함이 아니라 고객이 인증 없이 샌드박스에서 코드를 실행할 수 있는 엔드포인트를 공개해 둔 문제라고 밝혔다. 남의 실수 하나가 남의 인프라 안에서 중계기가 된다.
신호를 자동으로 흡수하는 설계는 반대편에서도 늘고 있다
앤트로픽이 7월 24일 Opus 5와 함께 낸 자동 폴백 베타는 다른 맥락이지만 같은 질문을 던진다. 안전 분류기에 걸린 요청을 오류로 되돌리는 대신 다른 모델로 자동 라우팅한다. Claude.ai와 Claude Code에서는 Opus 4.8로 넘어가는 게 기본값이다.
가용성 측면에서는 합리적인 선택이다. 대신 예전에는 오류로 튀어나와 담당자 눈에 띄던 사건이 이제 성능이 한 단계 낮은 정상 응답으로 조용히 지나간다. 보안 사고가 아니라 설계 선택이고 기록은 남는다. 문제는 그 기록을 누가 언제 보느냐이며, 허깅페이스 사례가 답한 것이 바로 그 질문이다.
교육·AX 현장에서 우리가 확인하는 순서도 같다. 도입한 도구 목록이 아니라, 이상 신호가 잡힌 뒤 담당자에게 닿기까지 몇 분이 걸리는지를 먼저 측정한다. 자동화가 빨라질수록 사람에게 넘기는 구간이 유일한 병목으로 남는다. 사업영역 →