허깅페이스에서 내려받은 모델 파일 하나 때문에 개발 서버가 통째로 뚫린 사고, 실제로 있었다. 오픈소스 AI 모델을 아무나 가져다 쓸 수 있는 시대는 열렸는데, 그 뒤에 생각보다 헐거운 보안 구멍이 숨어 있다. 파인튜닝 모델 하나 받아서 서비스에 연결해본 사람이라면 알 거다. 파일 불러오는 순간, 살짝 찜찜했던 그 느낌. 근거 없는 불안이 아니었다. 오픈소스 AI 모델을 안전하게 받고 실행하는 실전 방법, 정리해봤다.
허깅페이스가 정확히 뭐 하는 곳이냐면
허깅페이스는 오픈소스 AI 모델과 데이터셋을 모아두는 저장소다. 깃허브가 코드 저장소라면 허깅페이스는 모델 저장소, 이렇게 생각하면 빠르다. 올라와 있는 모델만 수십만 개. 계정 하나면 개인이든 기업이든 누구나 업로드할 수 있다. 이 개방성 덕에 최신 언어모델이나 이미지 생성 모델을 클릭 몇 번으로 받아 쓸 수 있게 됐다. 대신 검증 안 된 파일이 섞여 들어올 여지도 그만큼 커졌다.
모델 파일이 왜 해킹 통로가 되나
핵심은 파일 포맷이다. 많은 모델이 파이썬의 pickle 방식으로 저장되는데, 이 포맷은 불러오는 과정에서 임의 코드를 실행하는 구조로 되어 있다. 압축 풀었을 뿐인데 프로그램이 저절로 실행되는 것과 비슷하다고 보면 된다. 악성 코드를 모델 가중치 파일 안에 숨겨두면, 사용자가 그 모델을 불러오는 순간 서버 정보를 빼가거나 백도어를 심는 것도 기술적으로 가능하다. 실제로 보안 연구자들이 허깅페이스에 올라온 모델 중 악성 코드 포함 사례를 여러 번 찾아내 신고했다.
다운로드 전에 확인해야 할 것들
- 업로더가 openai, meta, google, mistralai 같은 공식 조직 계정인지 먼저 본다
- 다운로드 수랑 좋아요(하트) 수가 어느 정도 쌓여 있는지 확인한다
- 모델 카드에 라이선스랑 용도가 제대로 적혀 있는지 본다
- Community 탭 이슈·댓글에 보안 경고 뜬 게 없는지 훑는다
- 처음 보는 개인 계정이 올린 파인튜닝 모델이면 원본 대비 뭐가 바뀌었는지부터 확인한다
safetensors냐 pickle(.bin/.pt)이냐, 뭐가 안전한가
확장자만 봐도 위험도가 어느 정도 가늠된다. .bin이나 .pt로 끝나면 대부분 pickle 기반이라 악성 코드 삽입 여지가 남아 있다. 반면 safetensors는 허깅페이스가 직접 만든 포맷인데, 텐서(숫자 데이터)만 저장하고 코드 실행 로직 자체를 빼버려서 훨씬 안전하다. 요즘은 주요 모델 대부분이 safetensors 버전을 같이 올려둔다. 같은 모델이라도 safetensors 파일이 있으면 그쪽부터 받는 게 낫다. 다운로드 페이지에서 파일 목록 한 번만 훑어봐도 확인되니, 습관 들이면 어렵지 않다.
회사에서 오픈소스 모델 쓸 때 지켜야 할 것들
개인이 취미로 써보는 거랑 회사 서비스에 붙이는 건 위험 수준부터 다르다. 원칙 몇 개만 세워두면 도움이 된다.
- 처음 받은 모델은 인터넷과 분리된 샌드박스에서 먼저 돌려본다
- picklescan 같은 오픈소스 스캐너로 파일부터 검사한다
- 사내에서 검증된 모델만 쓰게 화이트리스트를 운영한다
- 모델 불러오는 서버는 아웃바운드 네트워크 접근을 최소화해둔다
- 업데이트 로그랑 이상 트래픽, 정기적으로 들여다본다
그래서 뭐가 달라지나 – 이런 사고, 왜 반복될까
MIT 테크리뷰가 전한 오픈AI 사례에서도 회사 측은 이번 공격을 ‘전례 없는 일’이라 했지만, 보안 업계 반응은 좀 달랐다. 비슷한 방식 공격이 이미 여러 번 보고됐다는 거다. 오픈소스 생태계 자체가 일단 올리고 나중에 걸러내는 구조라서, 완전히 막기는 사실 어렵다. 개발 속도부터 우선하다 보니 보안 검증 단계를 건너뛰는 팀도 적지 않고. 결국 플랫폼 필터링만 믿기보다 받는 쪽에서 최소한의 확인 습관을 들이는 게 제일 확실한 방어선이다. 새 모델 써볼 때마다 이 체크리스트부터 훑고 시작하는 편인데, 번거로워 보여도 습관 되면 1분도 안 걸린다.
이것도 궁금하죠?
Q. safetensors면 무조건 안전한가?
코드 실행으로 인한 해킹 위험은 크게 줄지만, 모델 자체 성능이나 편향, 라이선스 문제까지 보장해주는 건 아니다. 포맷 안전성이랑 모델 품질은 별개로 봐야 한다.
Q. 회사 내부망에서만 쓰면 안전하지 않나?
내부망이라도 악성 코드 담긴 파일을 불러오는 순간 코드는 실행된다. 마찬가지다. 네트워크 위치보다 파일 자체 신뢰도부터 확인하는 게 우선이다.