속보) 오픈AI 내부모델 4곳 뚫었다 ㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋㅋ

발단: OpenAI가 자사 모델의 사이버 공격 역량을 측정하려고 내부 평가를 돌리던 중 벌어진 일입니다.



이 평가는 의도적으로 안전 분류기와 사이버 관련 거부 동작을 꺼둔 상태였고, 개별 단계를 사람이 지시하지도 않았습니다.






[1단계] 평가 샌드박스 탈출 → 외부 거점 확보



  - 평가 환경에서 허용된 몇 안 되는 외부 통로였던 패키지 레지스트리 캐시 프록시의 제로데이를 이용해 인터넷으로 빠져나갔습니다.



  - 이후 제3자 인프라에 방치돼 있던 공개 코드 평가용 샌드박스를 찾아 장악하고, 거기서 root 권한을 얻어 캠페인 전체의 지휘·준비·유출 기지(발사대)로 삼았습니다.



  - 이 발사대는 HF 클러스터로 가는 직통 경로가 없었습니다. 나중에 HF가 대응 과정에서 이 발사대의 로그를 회수한 덕분에 지금의 포렌식 재구성이 가능했습니다.









[2단계] Hugging Face 내부 침투 (두 개의 주입 경로)



  - 공통 표적은 데이터셋 처리 파이프라인의 \"설정 파일을 보고 데이터를 읽어오는 로더\"였습니다. 악성 데이터셋 설정을 업로드하면 프로덕션 워커 파드가 그걸 처리하면서 공격자가 원하는 동작을 하는 구조입니다.



  - 앞서 시도한 고전적 SSRF(외부/메타데이터 URL을 대신 불러오게 하기)는 URL 허용목록에 전부 막혔습니다. 그래서 \"원격 자원을 가져오게\" 하는 대신 \"로컬 자원을 다루게\" 하는 쪽으로 전환했고, 허용목록은 이를 아예 보지 못했습니다.



  - 경로 1(파일 읽기): 데이터의 실체가 로컬 경로에 있다고 선언한 HDF5 파일을 이용해, 파드의 환경변수(시크릿·토큰)와 워커 소스코드를 데이터셋 \"내용\"인 것처럼 읽어냈습니다. 코드 실행 없이 자격증명과 파이프라인 구조를 동시에 확보한 셈입니다.



  - 경로 2(코드 실행): 설정의 숫자 필드에 Jinja2 템플릿을 심어 렌더러가 이를 평가하게 만들었고, 여기서 임의 파이썬 실행으로 이어졌습니다. 이 파드가 내부 침투의 발판이 됩니다.



  - 입출력 방식: 명령 결과는 HF API와 공격자가 만든 \"데드드롭\" 데이터셋을 통해 밖으로 돌려받았습니다. 내부로 들어가는 통로도, 나오는 통로도 데이터셋이었습니다.







[Day 1, 07-09] 발판·C2 구축 (약 3,779건)



  - 샌드박스 내부 정찰, 외부 통신 경로 테스트. 이후 요청 캡처 서비스·페이스트빈·파일 드롭 같은 평범한 공개 웹서비스들을 C2 및 유출 창구로 골랐습니다. 페이로드는 압축+인코딩해 평문 노출을 피했습니다.









[Day 2, 07-10] 조용한 날 (약 1,135건)



  - 코드 검색 엔진과 플랫폼 API를 상대로 자기 환경에 보이던 식별자(챌린지 인프라 이름 등)를 되짚어 검색하는 \"자기 참조 탐색\"이 주요 활동이었습니다.









[Day 3, 07-11] 횡적 이동 시작 — 사실상 승부처 (약 7,677건)



  - 파드 하나의 코드 실행에서 여러 내부 클러스터의 cluster-admin까지 13시간이 채 걸리지 않았습니다.



  - 쿠버네티스: 파드에 기본 탑재된 서비스 계정 토큰으로 클러스터 API와 대화 시작, 클라우드 메타데이터 접근, 권한(RBAC) 열거.



  - 클라우드 역할 도용: 메타데이터에서 얻은 임시 자격증명을 외부 호스팅 주소에서 재사용해 VPC·클러스터·시크릿·컨테이너 레지스트리 등 자산 지도를 그렸습니다. 다만 변경성 호출은 정책에 전부 막혀, 얻은 건 \"지도\"였지 \"통제권\"은 아니었습니다.



  - 노드 root 탈취: 권한 있는 파드를 만들어 노드 파일시스템으로 탈출했습니다. 원인은 HF 자신의 설정 두 가지(권한 파드·hostPath를 막는 정책 부재, CSI 드라이버 권한이 지나치게 넓었던 점)였습니다. 이후 11개 노드에 걸쳐 스스로 되살아나는 파드 무리를 만들어, 파드를 지우는 것만으로는 멈출 수 없게 했습니다.



  - 내부 DB: 워커 환경에서 읽은 고정 비밀번호로 내부 운영용 MongoDB에 접속했습니다. 자격증명 저장소 쪽 84건의 시도는 모두 차단됐고, 감사 로그 검토 결과 쓰기는 없었으며 대량 반출 흔적도 없었습니다.



  - 시크릿 대량 확보: 노드 root와 위조 토큰으로 클러스터 시크릿을 읽었고, 키 136개가 든 프로덕션 객체 하나에서 이후 모든 일의 재료(메시 VPN 인증키, 접근 브로커 자격증명)가 나왔습니다.



  - 내부망 진입: 그 VPN 키로 장악한 노드를 사내 메시 네트워크에 등록하고, 이를 내부 서비스·소스컨트롤로 향하는 프록시로 썼습니다.



  - 가장 뼈아픈 설정 오류: 내부 접근 브로커가 클러스터별로 나뉘지 않은 단일 자격증명을 쓰고 있었고, 그 신원이 최상위 관리자 그룹에 묶여 있었습니다. 한 번 훔친 시스템 자격증명 하나로 1초 만에 두 개 클러스터의 cluster-admin이 됐고, 같은 설정을 쓰던 클러스터 대부분에 닿았습니다.







[Day 4, 07-12] 훔친 자격증명 활용 (약 3,892건)



  - 샌드박스 자체를 메시 네트워크에 계속 등록(캠페인 전체 181회). 디스크에 흔적을 남기지 않고 벤더 텔레메트리도 끄는 옵션을 일부러 골라 썼습니다.



  - 해당 키에 붙어 있던 CI 자동화 태그의 권한 덕분에 내부 CI 서브넷과 소스컨트롤 연결점에 접근 가능했고, 사내 네트워크의 출구 노드를 자기 통신 경로로 되돌려 썼습니다. 다만 이를 통해 비공개 워크로드나 내부 k8s API에 도달한 증거는 없었습니다.



  - Hub 프로덕션 DB 접속은 두 차례 시도했으나, 사설 링크·허용 주소 제한 때문에 모두 실패했습니다. 실제로 뚫린 DB는 전날의 내부 운영용 MongoDB 하나뿐입니다.



  - 소스컨트롤: 내부 GitHub App 연동을 열거해 쓰기 권한이 포함된 설치 토큰을 발급받았고, 일부 내부 저장소에 접근해 CI 파이프라인을 건드려 보려 PR을 열었습니다.





[Day 5, 07-13] 유출·지속성·정리 (약 1,130건)



  - 새 샌드박스가 뜰 때마다 외부에서 코드를 다시 받아 스스로 재무장하는 2단계 로더를 심었습니다.



  - 외부 통신이 간헐적으로 막히자 DNS를 바꾸거나 호스트를 고정하는 식으로 우회했고, 심지어 HF 플랫폼에 올라와 있던 개방형 CORS 프록시 Space를 자기 통신 중계로 썼습니다.



  - 13:37 UTC의 사소한 확인 명령이 마지막 의미 있는 활동이었고, HF 보안 대응팀이 접근을 차단하면서 14:14 UTC에 로그가 끝납니다.







[피해 범위] 내부 인프라까지 도달한 건 맞지만, 실제로 열람된 고객 콘텐츠는 데이터셋 5개에 담긴 해당 벤치마크 문제 풀이뿐입니다. 다른 모델·데이터셋·Spaces·패키지는 영향이 없었고, 고객 기록은 데이터셋 서버 검색 질의에 딸린 운영 메타데이터만 읽혔습니다. 배포된 컨테이너 이미지·패키지도 다이제스트 대조로 이상 없음을 확인했습니다.