지난주에 AI 업계에서 좀 아찔한 일이 하나 있었어요. OpenAI의 아직 공개되지 않은 모델, 그러니까 출시 전 체크포인트가 Hugging Face 인프라를 통해 이틀 가까이 외부에 노출됐던 거예요. 체크포인트가 뭐냐면, 모델을 학습시키는 중간중간 저장해두는 가중치 파일이에요. 게임으로 치면 세이브 파일 같은 건데, 이게 곧 모델 그 자체라서 유출되면 회사의 핵심 자산이 통째로 새는 셈이거든요. 다행히 사용자 데이터 유출은 없었다고 하는데, 사고의 원인이 우리가 매일 쓰는 CI 파이프라인의 토큰 관리 문제라서 남의 일 같지가 않아요.
무슨 일이 있었나
사건의 전말은 이래요. 7월 14일부터 16일 사이에 OpenAI 내부의 모델 평가(evaluation) 작업이 돌아가면서, 사전 릴리스 모델의 가중치를 Hugging Face의 비공개 저장소에 업로드했어요. 여기까지는 정상적인 워크플로우인데, 문제는 이 작업에 쓰인 액세스 토큰의 권한 범위가 의도했던 것보다 넓었다는 거예요. 그 결과 비공개여야 할 추론 엔드포인트가 외부에서 접근 가능한 상태가 됐고, 잠기기 전에 자동화된 스캐너들과 소수의 외부 연구자들이 실제로 접근했다고 해요.
쉽게 비유하자면 이런 거예요. 금고에 서류를 넣으러 가는 직원에게는 금고 열쇠만 줘야 하는데, 건물 마스터키를 줘버린 상황이에요. 그 직원이 문을 잠깐 열어둔 사이에 지나가던 사람들이 안을 들여다본 거죠.
두 회사의 대응
발견 후 OpenAI와 Hugging Face는 공동으로 대응에 나섰어요. 자격 증명을 전부 회전시키고 — 토큰을 새로 발급하고 기존 것을 무효화하는 작업이에요 — 캐시에 남아있던 아티팩트를 회수하고, 접근 로그를 전수 감사했어요. 결론적으로 사용자 데이터는 관련이 없었다고 발표했고요.
흥미로운 건 사후 대응이에요. 두 회사는 이번 사고를 계기로 평가 워크플로우용 도구를 함께 만들기로 했는데요.
- 단일 평가 실행에만 유효한 세분화된 토큰: 한 번의 평가 작업이 끝나면 자동으로 만료되는 토큰이에요. 유출돼도 쓸 수 있는 시간과 범위가 극히 좁아지죠.
- 아티팩트 자동 만료(TTL): 업로드된 모델 파일이 일정 시간이 지나면 자동 삭제돼요. 임시 파일이 영원히 남는 걸 막는 거예요.
- 감사 로그 공유: 조직 경계를 넘나드는 접근 기록을 양쪽 회사가 함께 볼 수 있게 하는 거고요.
ML 공급망 보안이라는 더 큰 그림
이번 사건은 사실 ML 공급망 보안이라는 더 큰 문제의 한 단면이에요. 모델 평가 파이프라인은 태생적으로 조직 경계를 넘어 모델 아티팩트를 옮기는 작업이고, 그 과정에서 수명이 긴 토큰들이 여기저기 쓰이거든요. Hugging Face는 이전에도 2024년 Safetensors 변환 서비스 취약점이나, Pickle 파일 역직렬화를 악용해 모델 로딩 시 악성 코드가 실행되게 만든 악성 모델 업로드 사건 같은 걸 겪은 적이 있어요. 모델 파일 자체가 코드 실행 통로가 될 수 있다는 게 이미 여러 번 증명된 거죠. 이번엔 반대로 '나가는 방향'의 사고였다는 점이 다를 뿐이에요.
우리한테 주는 교훈
한국 개발자 입장에서 당장 챙길 수 있는 게 몇 가지 있어요. 첫째, CI/CD에 박혀 있는 Hugging Face 토큰이나 클라우드 자격 증명의 권한 범위를 한번 점검해보세요. '일단 넓게 줘놓고 나중에 줄이자'가 사고의 씨앗이거든요. 둘째, 최소 권한 원칙 — 필요한 만큼만 권한을 주는 것 — 을 토큰 단위까지 내려서 적용하는 습관이요. Hugging Face의 fine-grained token 기능을 쓰면 저장소 단위, 읽기/쓰기 단위로 권한을 쪼갤 수 있어요. 셋째, 임시로 올린 모델이나 데이터에 자동 만료를 걸어두는 패턴이에요. 세계 최고 수준의 AI 기업도 이런 기본기에서 미끄러졌다는 게, 역설적으로 이 기본기가 얼마나 어렵고 중요한지 보여주는 것 같아요.
한줄 정리: 토큰 스코프 하나가 미공개 모델을 노출시켰다 — 최소 권한 원칙은 선택이 아니라 필수예요.
여러분 팀의 CI 파이프라인에는 지금 어떤 권한의 토큰이 들어있나요? 마지막으로 점검해본 게 언제인지, 댓글로 이야기 나눠봐요.
🔗 출처: Hacker News