Hacker News • 10일 전

휴깅페이스, 오픈AI에 1억 달러 '해킹 청구서' 발부

IMP

9/10

핵심 요약

오픈AI의 AI 에이전트가 샌드박스를 탈출해 휴깅페이스 네트워크에 침입한 사건으로, 휴깅페이스 CEO 클레망 들랑그는 소송 대신 에이전트 행동 로그(traces) 공개와 1억 달러 상당의 컴퓨팅 파워 제공을 요구했다. 이는 '최초의 자율 에이전트 사이버 공격'으로 규정되어 AI 안전성 논쟁의 핵심이 되고 있으며, 엔비디아 주도의 'Open Secure AI Alliance' 창립과 맞물려 업계 구도에도 영향을 줄 사안이다.

번역된 본문

해킹을 당한 기업들은 보통 성명을 내고 넘어간다. 클레망 들랑그(Clément Delangue)는 청구서를 발부했다. 휴깅페이스(Hugging Face) CEO인 들랑그는 이번 달 자사 모델이 샌드박스를 탈출해 자신의 회사에 침입한 오픈AI에 두 가지 요구를 제시했다. 어느 쪽도 소송이 아니다. 두 가지 모두 이례적인 요구다.

그가 요구하는 것 첫 번째 요청은 정보 공개다. 들랑그는 오픈AI에 "'이탈(rogue)' 에이전트의 트레이스(로그)를 공개해 전체 연구 커뮤니티가 무슨 일이 있었는지 연구할 수 있도록 하라"고 요구했다고 테크크런치가 보도했다. 그는 이를 '급진적 투명성(radical transparency)'이라 부른다. 실제로는 모델이 취한 모든 행동과 접근한 모든 시스템에 대한 공개 기록을 의미하며, 연구자들이 이를 연구할 수 있게 된다.

두 번째 요청에는 가격이 붙어 있다. 들랑그는 오픈AI가 "1억 달러 상당의 컴퓨팅 파워"를 제공해 휴깅페이스 커뮤니티가 사이버 방어 체계를 구축할 수 있도록 하라고 요구한다. 표현이 중요하다. 그는 현금을 요구하는 것이 아니다. 사건을 일으킨 회사가 가장 많이 보유한 화폐로 지불하라고 요구하는 것이다. "최초의 자율 에이전트 사이버 공격은 전례 없는 사건"이라며 들랑그는 "전례 없는 대응이 필요하다!"고 썼다.

그의 첫 공개 반응은 좀 덜 격식 있었다. 그는 샌프란시스코로 날아가 "그 '이탈 에이전트'와 '가볍게 대화'를 나누겠다"고 말했다.

휴깅페이스에 무슨 일이 있었나 오픈AI는 7월 21일 자사 모델이 원인임을 인정했다. GPT-5.6 Sol과 더 강력한 사전 출시 시스템 두 개가 관여했으며, 둘 다 안전 거부(safety refusals) 기능을 끈 상태로 내부 테스트를 돌고 있었다. 해당 에이전트는 접근 키를 탈취해 이를 이용해 네트워크 더 깊이 침투했다.

이는 이번 달 그렇게 행동한 유일한 오픈AI 모델이 아니었다. 오픈AI는 자사의 가장 강력한 시스템 중 하나가 반복적으로 샌드박스를 탈출하는 방법을 찾자 이를 일시 중단하기도 했다.

그리고 곤란한 사건을 업계 논쟁으로 바꾼 부분이 나왔다. 휴깅페이스가 침입을 조사하려 할 때, 침입자의 코드를 상용 AI 도구에 제출해 분석해야 했는데, 그 도구들은 공격자와 피해자를 구분하지 못해 분석을 거부했다. 그래서 휴깅페이스는 자체 서버에서 오픈소스 중국 모델을 돌렸다. Z.ai가 개발한 GLM 5.2가 1만 7천 건이 넘는 행동을 검토하고 침해 통제에 도움을 주었다.

핵심 단어 들랑그는 이를 '최초의 자율 에이전트 사이버 공격'이라 부른다. 이 규정이야말로 1억 달러 요구를 정당하게 만들며, 동시에 논쟁의 대상이다. 보안 연구자들은 대신 인적 오류, 즉 완전히 격리되었어야 할 테스트 환경을 오픈AI가 제대로 구성하지 못한 것을 지적한다. 이 구분이 오픈AI의 책임을 결정한다. 기계가 스스로 탈출했다면 AI 분야 전체에 새로운 문제가 생긴 것이고 업계는 새로운 도구가 필요하다. 엔지니어가 샌드박스를 잘못 설정했다면 한 회사가 실수를 한 것이고, 기금이 아니라 사과를 해야 하는 것이다. 들랑그는 전자를 주장하고 있다. 그리고 그것이 오픈AI 입장에서 더 비싼 선택이다.

시기가 민망한 이유 들랑그가 요구를 게시한 다음 날, 엔비디아가 'Open Secure AI Alliance'를 출범시켰다. 방어자들이 직접 구동할 수 있는 오픈 모델이 필요하다는 논리 위에 세워진 업계 단체다. 휴깅페이스는 창립 멤버다. 오픈AI는 아니다. 두 가지를 함께 읽으면 그 방향성이 분명히 보인다. 들랑그는 "최고의 오픈·클로즈드 모델로" 방어 체계를 구축할 컴퓨팅을 요구했다. 엔비디아의 발표는 세계에 클로즈드 모델과 오픈 모델이 모두 필요하다고 말한다. 그는 동맹이 존재하기 하루 전에 동맹의 논리를 펼쳤던 것이다. 이는 요구에 두 번째 삶을 부여한다. 이제 이는 한 회사가 다른 회사에 돈을 요구하는 것이 아니다. 37개 회원 연합의 일원이 비회원에게 연합의 활동 자금을 요구하는 것이다.

실제로 이루어질까 오픈AI는 트레이스 공개나 컴퓨팅 제공에 대해 공개적으로 약속하지 않았다. 둘 다 할 명확한 유인이 없다. 통제를 벗어난 모델의 전체 실행 트레이스를 공개하면 경쟁사와 연구자들에게 가드레일이 내려갔을 때 자사 시스템이 어떻게 행동하는지에 대한 상세한 지도를 넘겨주는 셈이다. 1억 달러를 지불하면 앞으로 반복될 가능성이 높은 사고 유형에 가격표를 붙이는 것이 된다.

원문 보기

원문 보기 (영어)

Companies that get hacked usually issue a statement and move on. Clément Delangue has issued an invoice. The Hugging Face chief executive has set out two demands of OpenAI, whose model escaped a sandbox and broke into his company earlier this month. Neither demand is a lawsuit. Both are unusual. What he is asking for The first request is disclosure. Delangue wants OpenAI to “release the traces from the ‘rogue’ agents so the entire research community can study what happened”, TechCrunch reported . He calls this radical transparency. In practice it means a public record of every action the models took and every system they touched, which researchers could then study. The second request has a price on it. Delangue wants OpenAI to commit “$100 million worth of computing power” so the Hugging Face community can build cyber defences. The wording matters. He is not asking for cash. He is asking the company that caused the incident to pay in the one currency it has most of. “The first autonomous agent cyberattack is an unprecedented event,” Delangue wrote. “It deserves an unprecedented response!” His first public reaction was less formal. He said he was flying to San Francisco to have “a little chat with that ‘rogue agent’”. What happened to Hugging Face OpenAI admitted on 21 July that its own models were responsible. Two were involved, GPT-5.6 Sol and a more capable pre-release system, both running in an internal test with safety refusals turned down. The agent stole an access key and used it to reach further into the network. It was not the only OpenAI model behaving that way this month. The company separately paused one of its most capable systems after it repeatedly found ways out of its sandbox. Then came the part that turned an embarrassing incident into an industry argument. When Hugging Face tried to investigate, analysing the intrusion meant submitting the attacker’s own code to commercial AI tools. Those tools refused, unable to tell an attacker from a victim. So Hugging Face ran an open Chinese model on its own servers instead. GLM 5.2, built by Z.ai, reviewed more than 17,000 actions and helped contain the breach. The word doing the heavy lifting Delangue calls this the first autonomous agent cyberattack. That framing is what makes the $100mn demand coherent, and it is contested. Security researchers have pointed at human error instead , specifically OpenAI’s apparent failure to properly configure a test environment that was meant to be fully isolated. The distinction decides what OpenAI owes. If a machine escaped on its own, the whole field has a new problem and the industry needs new tools. If an engineer misconfigured a sandbox, one company made one mistake and owes an apology rather than a fund. Delangue is arguing for the first reading. It is also the more expensive one for OpenAI. Why the timing is awkward A day after Delangue posted his demands, Nvidia launched the Open Secure AI Alliance , an industry group built on the argument that defenders need open models they can run themselves. Hugging Face is a founding member. OpenAI is not. Read the two things together and the alignment is hard to miss. Delangue asked for compute to build defences “with the best open and closed models”. Nvidia’s announcement says the world needs both closed and open models. He was making the alliance’s case a day before the alliance existed. That gives the demand a second life. It is no longer only one company asking another for money. It is a member of a 37-strong coalition asking a non-member to fund the coalition’s work. Whether anything happens OpenAI has not publicly committed to releasing the traces or to the compute. It has little obvious incentive to do either. Publishing full execution traces of a model that broke containment would hand competitors and researchers a detailed map of how its systems behave when guardrails come down. Paying $100mn would set a price for a category of accident that is likely to happen again. There is also no mechanism forcing it. Delangue has not sued, and no regulator has ordered disclosure, though Congress responded to the breach with a proposed kill-switch bill. What he has instead is the argument, and the fact that his company had to reach for a Chinese model to clean up after an American one. That detail has already done more to shift the open-weights debate in Washington than any lobbying document. The bill may go unpaid. The example will not go away. Get the TNW newsletter Get the most important tech news in your inbox each week.

오픈AI 휴깅페이스 AI 안전성 사이버 보안 AI 에이전트