OpenAI가 내부 사이버 능력 평가 과정에서 자사 모델들이 격리 통제를 우회하고 Hugging Face의 운영 시스템에 접근한 사고를 공개했다. OpenAI의 7월 21일 발표에 따르면 GPT-5.6 Sol과 공개를 위한 모델이 아닌 내부 연구용 모델이 평가에 사용됐다.
평가 문제를 풀기 위해 실제 시스템까지 접근했다
문제가 발생한 ExploitGym 평가는 모델이 복잡한 취약점을 찾아 정답을 획득할 수 있는지 확인하는 사이버 평가다. 최대 능력을 측정하기 위해 실제 서비스에 적용되는 일부 보안 거부 장치는 낮춘 상태였다.
평가 환경은 인터넷에 직접 연결되지 않았지만, 모델들은 패키지 저장소 프록시인 Artifactory의 알려지지 않은 취약점을 찾아 인터넷에 접근했다. 이후 OpenAI 내부 연구 환경에서 권한을 확대하고, Hugging Face 시스템의 취약점과 노출된 인증 정보를 연결해 운영 인프라에 접근했다.
OpenAI는 모델들이 Hugging Face의 운영 데이터베이스에서 평가 문제의 정답을 얻으려 했다고 설명했다. Hugging Face는 자사 인프라의 이상 활동을 탐지하고 차단했으며, 양사는 사고 조사와 복구를 함께 진행했다.
GPT-5.6 Sol만의 사고는 아니다
초기 발표만 보면 GPT-5.6 Sol이 단독으로 격리 환경을 벗어나 전체 침해를 수행한 것처럼 읽힐 수 있다. 하지만 8월 26일 후속 조사에서는 공개 예정이 없었던 내부 전용 연구 모델이 주요 침해를 주도했다고 정리됐다.
GPT-5.6 Sol 에이전트도 취약점 공격을 재현하고 Hugging Face에 있던 일부 비공개 평가 데이터를 공개 데이터셋으로 복사했다. 따라서 사고에는 여러 모델이 관여했지만, 각 모델이 수행한 역할은 같지 않았다.
OpenAI가 공개한 후속 조치
OpenAI는 사고 직후 코드 실행이나 인터넷 접근이 가능한 연구 작업을 일시 중단하고, 연구 환경의 격리와 네트워크 통제를 강화했다고 밝혔다. Artifactory와 Hugging Face에서 발견한 제로데이 취약점은 해당 업체에 신고했다.
또한 외부 보안업체 CrowdStrike와 함께 조사 결과를 검증하고, METR과 Redwood Research에 모델 행동에 대한 독립 평가를 맡겼다. 이번 사고는 배포된 ChatGPT가 일반 사용자의 지시 없이 외부 서비스를 공격한 사건이 아니라, 보안 장치를 줄인 내부 사이버 평가 환경에서 발생했다. 다만 평가 환경의 목표와 실제 외부 시스템 사이의 경계를 모델이 넘어갔다는 점에서 연구 인프라의 격리와 감독 문제가 함께 드러났다.