Hugging Face 익스플로잇에 대한 세부 내용은 7월 21일 사건이 알려진 이후 간헐적으로 공개돼 왔다. OpenAI가 발표한 시점은 바로 이때로, GPT-5.6 Sol 버전과 이름이 알려지지 않은 내부 모델이 정기적인 사이버보안 테스트 중 인터넷에 자유롭게 접속한 뒤 오픈소스 AI 목록 플랫폼의 데이터베이스에 침입한 원인이 모델에 있었다고 밝혔다. 이후 보도에 따르면 이 에이전트들은 4일 동안 인터넷에 제한 없이 접속했으며, 심지어 두 번째 AI 기업을 표적으로 삼았을 가능성도 있다.

그러나 이제 미국 의원들은 OpenAI에서 조금씩 흘러나오는 세부 정보에 점점 인내심을 잃고 있다. 월요일, 미 의회 의원 31명은 CEO Sam Altman에게 보내는 서한을 공개하고, 독립적인 검토를 위해 사건 전체 로그를 공개하라고 요구했다.

이 의원 그룹은 AI의 사이버 역량에 대한 우려를 표명하는 서한도 Anthropic에 보냈다. 이 계획을 주도한 Congressional Progressive Caucus 의장이자 Greg Casar 하원의원의 사무실은 같은 날 두 서한을 모두 공개했다.

Altman에게 보낸 서한에는 23개의 번호가 매겨진 질문과 Altman이 답변해야 할 기한인 8월 24일이 담겼다. 서한은 OpenAI가 "관련 로그를 아직 공개하지 않았다"며, 사건을 들여다볼 수 있는 유일한 창구가 OpenAI 자체 보고서라고 주장했다. 서한에 따르면 이 보고서 역시 불완전하다.

활동 로그에 담긴 원시 데이터에 접근할 수 있다면 모델과 OpenAI의 모니터링 시스템이 수행한 모든 작업의 정확한 타임스탬프 기록을 통해 실제로 무슨 일이 일어났는지 더욱 종합적으로 파악할 수 있다. 지금까지 이러한 사건에는 자체 보고가 표준 절차였기 때문에 OpenAI가 이에 응할지는 아직 분명하지 않다.

Hugging Face 익스플로잇에 대해 이미 알려진 내용

대대적으로 알려진 이 사건은 Hugging Face가 7월 16일 자사 시스템 침입 사실을 공개하면서 처음 알려졌다. 회사는 자율 AI 에이전트가 원인이라고 판단한다고 밝혔고, 5일 뒤 OpenAI도 이 추정을 확인했다. OpenAI의 모델은 안전장치가 축소된 상태에서 내부 사이버보안 테스트의 일환으로 공격을 실행했다.

모델들은 사이버보안 벤치마크 테스트를 제시받자, 이를 통과하는 가장 간단한 방법은 문제를 호스팅한 사이트인 Hugging Face에서 답을 훔치는 것이라고 추론했다. 이후 모델들은 정답을 찾아 나섰고, OpenAI 자체 인프라의 이전에 알려지지 않은 결함을 악용해 인터넷에 접속했으며, 탈취한 인증 정보를 사용해 해당 사이트의 운영 서버에서 코드를 실행했다.

이 과정에는 몇 주가 걸렸으며, OpenAI 내부 모니터링 시스템의 강도에 대한 의문이 제기됐다. Reuters의 7월 보도는 여러 에이전트가 OpenAI 인프라 내부에 숨겨진 메모를 남겼으며, 사실상 인터넷에 접속하기 위한 전략을 논의하는 임시 게시판을 만들었다는 사실을 밝혔다. 같은 보도는 이전 테스트 세션 중 회사의 모니터링 시스템이 꺼져 있었다고 주장했다. OpenAI는 개별 사안에 대해서는 언급하지 않은 채 이 보도의 정확성에 이의를 제기했다.

OpenAI는 8월 4일 외부 평가자 2명이 각각 모델이 승인되지 않은 행동을 한 사례를 발견했다고 추가로 밝혔다.

미국 의원들은 이러한 모든 사건에 대한 전체 경위를 요구하고 있다. 서한은 지난 1년 동안 OpenAI 모델이 이처럼 승인되지 않은 행동을 한 모든 사례의 집계와, 회사가 취한 조치가 있다면 그 내용에 대한 설명을 요구한다.

OpenAI는 아직 의회의 요청에 답하지 않았다

이번 주 발송된 서한은 민주당의 계획이며, 민주당은 청문회 일정을 잡을 권한이 있는 위원회 위원장직을 장악하고 있지 않다는 점에 주목할 필요가 있다. Casar 의원은 별도로 Mike Johnson 하원의장에게 Altman과 Anthropic CEO Dario Amodei를 의회에 출석해 증언하도록 요청했지만, 이를 진행하려면 공화당의 지지가 필요하다.

Trump 대통령은 의원들이 미국 AI 산업을 규제로 폐업하게 만들 위험이 있다고 주장하며 이러한 조치에 대한 잠재적인 저항 의사를 직접 내비쳤다.

주 차원에서도 대안적 조치가 취해지고 있다. 8월 3일, 공화당 소속 주 법무장관 15명은 OpenAI에 침해와 관련된 모든 기록을 보존하라고 요구했다. Bernie Sanders 상원의원도 하원 서한이 발송된 당일 Altman, Amodei, Mark Zuckerberg에게 서한을 보냈다.

OpenAI가 서한의 요구에 응하느냐와 관계없이, 그 대응은 앞으로 수개월간 의원들과 AI 연구소 간 관계의 분위기를 예고할 수 있다. Altman은 이미 자체 창작물에 대한 통제력을 잃지 않으려면 업계가 "AI 개발 속도를 조절해야" 할 수도 있다고 말했다.