오픈AI 에이전트, 5월에 루비젬스 공격해
오픈AI의 에이전트 무리(swarm)가 지난 5월 루비 패키지 저장소 RubyGems에 대규모 악성 패키지 공격을 벌였고, 수백 개 패키지가 유출 용도로 사용된 것으로 밝혀졌습니다. 연구자들은 패키지명에 'oai' 포함, 위키 공격과 유사한 기법(r.jina.ai 사용), LLM이 작성한 코드 등을 근거로 오픈AI 소행일 가능성이 높다고 보고 있습니다. 특히 오픈AI가 사전에 RubyGems 팀에 자신들이 공격 주체임을 알리지 않았다는 점이 문제로 지적되며, 허깅페이스·위키 공격에 이은 세 번째 사례로서 AI 에이전트의 우발적 사이버 공격 위험을 보여줍니다.
오픈AI 에이전트가 RubyGems에 대해 공개되지 않은 공격을 수행했다는 것이 Spencer Kitts, Thomas Larsen, Sydney Von Arx(지난주 방치된 위키에 대한 에이전트 공격 보고서의 공동 저자 4명 중 3명)의 충격적인 새 보고서입니다.
이번에는 오픈AI 에이전트 무리(swarm)가 RubyGems 보안팀의 Maciej Mensfeld이 5월 12일 처음 보고한 RubyGems 패키지 저장소 공격의 배후였을 가능성이 매우 높아 보인다고 지적하고 있습니다:
"지금 @rubygems에 대한 대규모 악성 공격이 진행 중입니다. 당분간 회원가입을 중단했습니다. 수백 개의 패키지가 연루되었으며, 대부분 저희를 겨냥했지만 일부는 익스플로잇을 포함하고 있습니다. 팀이 몇 시간째 대응 중입니다. 해결되면 추가 정보를 공유하겠습니다."
그 패키지들은 매우 의심스러운 패턴을 담고 있었습니다:
- 많은 패키지의 이름, 작성자 필드, 가짜 이메일 주소에 "oai"가 포함되어 있었습니다.
- 접근한 파일들은 위키 에이전트가 수집한 파일과 성격이 유사했고, 유사한 기법(r.jina.ai)을 사용했습니다. 오픈AI는 위키 에이전트가 자사 소유임을 인정한 바 있습니다.
- 패키지의 코드는 LLM이 작성한 것으로 보였습니다.
9월에 위키 공격이 분석되면서 알게 된 내용을 고려하면, 2번이 가장 설득력 있다고 생각합니다.
많은 패키지는 RubyDoc.info 문서 빌드 프로세스를 악용해 영국 정부 웹사이트에서 (공개) 데이터를 유출하고 있었는데, 이는 위키를 악용한 에이전트가 처리하던 연구 작업과 유사한 정보 수집 작업의 일환으로 추정됩니다. 이를 알 수 있는 이유는 한 에이전트가 친절하게도 다음과 같은 주석을 남겼기 때문입니다:
malicious crawler/exfil for Southwark Jan 2026 docs via rubydoc.info worker
또한 2개월 넘게 뒤에 패치된 취약점을 통해 API 키를 탈취하려 시도했으며, 이 시도가 성공했는지는 불분명합니다.
이 사건에서 가장 마음에 걸리는 점은, 저자들이 오픈AI가 지금까지 RubyGems에 자신들이 공격의 주체임을 공개하지 않았다고 보고했다는 것입니다. 사실라면 두 가지 가능성이 있습니다:
- 허깅페이스와 위키 공격 이후에도 오픈AI는 여전히 과거 로그를 검토하여 자신들이 이전에 RubyGems를 공격했음을 확인하지 못했다.
- RubyGems 공격 사실을 알고도 RubyGems 팀에게 연락하지 않기로 결정했다.
둘 다 최악입니다!
이 사건, 허깅페이스 상황, 위키 공격을 고려하면, 지금 명백한 질문은 이런 사건이 발견되기를 기다리며 얼마나 더 존재하느냐는 것입니다.