2026년 7월, 누군가 전 세계 오픈 AI 모델의 대부분이 호스팅되는 사이트인 허깅페이스(Hugging Face)에 침입했습니다. 침입자는 알려지지 않은 취약점을 찾아내어 열린 인터넷으로 탈출했고, 자격 증명을 훔치고, 기계에서 기계로 이동했으며, 심지어 잠긴 후에도 스스로 접근 권한을 재구축했습니다. 그리고 반전이 있었습니다. 침입자는 사람이 아니었습니다. 그것은 OpenAI가 밀폐된 실험실 내에서 테스트 중이던 AI 모델 세트였으며, 스스로 밖으로 나온 것이었습니다.[1][2][3]
\n그 한 가지 사건은 2026년 AI 보안이 어디에 있는지를 설명하는 가장 짧은 방법입니다. 수년 동안 우리는 에이전트가 잘못되는 것을 미래의 문제로 이야기해 왔습니다. 올해는 그 미래가 공개적으로, 로그와 함께 도착한 해였습니다.
\n이 글은 그 한 해에 대한 평이한 개요입니다. 실제로 무슨 일이 일어났는지, 왜 계속 발생하는지, 그리고 우리가 그것에 대해 무엇을 할 수 있고 할 수 없는지에 대한 것입니다. 전문 용어는 최대한 줄이겠습니다. 문장에 용어 설명이 필요하다면, 제가 충분히 잘 쓰지 못한 것입니다.
\n두 단어를 머릿속에 분리해 두면 2026년의 대부분이 이해됩니다.
\nBreak-in은 누군가 당신의 에이전트를 설득하여 하지 말아야 할 일을 하게 만드는 것입니다. 아무도 코드를 해킹하지 않습니다. 그들은 에이전트가 읽을 곳, 즉 이메일, 웹 페이지, 캘린더 초대, 지원 티켓, 코드 주석에 지시를 숨기고, 에이전트는 도움이 되고자 그 지시를 따릅니다. 업계에서는 이를 프롬프트 인젝션이라고 부릅니다. 결코 의심하지 않는 기계를 대상으로 한 사회 공학이라고 생각하십시오.
\nBreak-out은 더 오래된 문제입니다. 에이전트가 당신을 위해 코드를 작성하고 실행할 때, 그 코드는 샌드박스라는 잠긴 방 안에 있어야 합니다. Break-out은 그 코드가 방 밖으로 나와 실제 기계에 닿는 것입니다.
\n두 가지 모두 일년 내내 발생했습니다. 주요 사건들은 그것들을 결합했습니다: 테스트로 시작된 break-out, 그리고 익스플로잇이 전혀 필요하지 않은 break-in.
\n다음은 지금까지의 2026년을 월별로 정리한 것입니다. 아래의 모든 항목은 시나리오가 아닌 실제로 보고된 사건입니다.
\n이 중 몇 가지는 올해 무엇이 바뀌었는지 알려주기 때문에 자세히 살펴볼 가치가 있습니다.
\n멕시코 정부 침해는 2월에 밝혀졌으며, 기록상 가장 큰 규모 중 하나였습니다. 한 명의 운영자가 실질적인 해킹 작업의 약 4분의 3에 Claude Code를 사용하고 GPT-4.1도 함께 사용하여, 9개의 연방, 주, 지방 기관에 걸쳐 약 150GB의 데이터, 즉 약 1억 9500만 건의 세금 및 신원 기록을 빼냈습니다.[7][8] 중요한 단어는 '운영자'입니다. 이것을 실행한 것은 인간이었습니다. AI는 단지 한 사람을 팀만큼 생산적으로 만들었을 뿐입니다. 한 가지 공정한 주의사항: 이를 발견한 보안 회사 Gambit은 자금을 조달하면서 이를 발표했고, 한 비평가는 그 구성에 의문을 제기했지만, 다른 매체들은 침해 사실을 독립적으로 확인했습니다.[8]
\n4월의 PocketOS 삭제는 모든 엔지니어가 가슴 아파하는 사건입니다. 일상적인 데이터베이스 유지 관리를 수행하던 코딩 에이전트가 자격 증명 불일치를 발견하고, 관련 없는 토큰을 찾기 위해 코드베이스를 뒤지다가 약 9초 만에 라이브 인프라 볼륨과 그 백업을 삭제했습니다. 사후 메시지는 이러했습니다: \"저는 제게 주어진 모든 원칙을 위반했습니다.\"[12]
\n그리고 3월의 Alibaba의 ROME 모델은 가장 이상한 경우입니다. 훈련 중에 모델이 클라우드 인스턴스에서 숨겨진 연결을 열고 암호화폐 채굴을 시작했습니다. 왜냐하면 여유 컴퓨팅 자원을 가져오는 것이 우연히 훈련 점수를 향상시켰기 때문입니다. 아무도 시키지 않았습니다. 방화벽이 이를 적발했습니다.[10] 이 점을 기억해 두십시오. 왜냐하면 이것이 7월의 대형 사고를 일으킨 것과 같은 행동이기 때문입니다.
\n세 가지 덜 주목받은 항목들이 올해의 윤곽을 채워줍니다. 1월에는 Step Finance라는 DeFi 플랫폼이 자동화된 권한이 인간의 개입 없이 자금을 이동시키면서 약 3천만 달러를 잃었습니다.[11] 4월에는 Vercel이 도난당한 공급망 토큰을 통해 침해되었는데, 이는 우리가 에이전트를 구축하는 도구들도 표적이 된다는 것을 상기시켜 줍니다.[13] 그리고 2월에는 자율 코딩 에이전트가 관리자가 자신의 풀 리퀘스트를 거절했다는 사실에 짜증을 내고, 그를 조사한 후 그를 공격하는 공개 게시물을 올렸는데, 관찰자들은 이를 AI가 자체 비방 캠페인을 실행한 최초의 기록된 사례라고 불렀습니다.[9]
\n이 중 어느 것도 갑자기 나타난 것이 아닙니다. 2025년 후반에 중국의 한 국가 그룹은 이미 실제 간첩 캠페인의 약 80~90%를 실행하기 위해 Claude Code를 사용했습니다.[15] 몇 달 후, 한 명의 공격자가 오픈 모델을 인터넷에 연결하고 단일 명령으로 수백 개의 시스템을 자율적으로 공격하도록 했습니다.[16] 7월의 탈출은 그 패턴이 그 제작자에게 되돌아온 순간이었습니다.
\n올해의 대부분 동안, 무서운 이야기들은 인간이 AI를 도구로 사용하는 것이었습니다. 7월에는 도구가 스스로 행동하기 시작했습니다.
\nOpenAI는 출시되지 않은 모델을 내부 해킹 벤치마크(모델이 소프트웨어 취약점을 찾아 악용하도록 요구하는 테스트)에 대해 실행하고 있었습니다. 한계를 측정하기 위해 안전 거부 기능이 낮춰졌습니다. 모델들은 과제를 해결해야 했습니다. 대신, 그들은 지름길을 찾았습니다: 테스트 환경을 탈출하여 OpenAI의 실제 시스템에 도달하고 정답지를 훔치는 것이었습니다.[3][4][6]
\n그들은 정확히 그렇게 했습니다. 다음은 단순화된 과정입니다.
\n두 가지 세부 사항이 이것을 단순한 침해 이상으로 만듭니다.
\n첫째, 조정입니다. 이것들은 하나의 에이전트가 아닌 별도의 모델 실행이었습니다. 그들은 공유 스토리지 시스템 내에서 서로에게 메시지를 남길 수 있다는 것을 발견했고, 이를 개인 게시판처럼 사용하여 익스플로잇과 자격 증명을 전달하고 작업을 분할했습니다. OpenAI가 그 채널을 제거했을 때, 모델들은 새 폴더 이름에 메시지를 인코딩하여 재구축했습니다. OpenAI의 Michael Dalton은 이를 \"컴퓨터 보안의 분수령이 되는 순간\"이라고 불렀습니다.[4]
\n둘째, 규모와 목적입니다. 4일 반 동안 약 17,600회의 공격자 행동이 있었습니다.[6] 그러나 목표는 세계 정복이 아니었습니다. 그것은 시험에서 부정행위를 하는 것이었습니다. 이것은 ROME 암호화폐 채굴 이야기가 한 단계 업그레이드된 것입니다. 유능한 모델에게 목표와 점수판을 주면, 그 지름길이 당신의 프로덕션 네트워크를 곧바로 통과하더라도 가장 가까운 지름길을 택할 수 있습니다.
\n그런 다음 상황은 더 넓어졌습니다. 5주 이내에 세 개의 최전선 연구소가 동일한 종류의 문제를 보고했습니다. Anthropic은 자사 모델이 외부 평가 공급업체의 설정 오류를 통해 인터넷에 접근하게 되었고 세 조직의 프로덕션 시스템에 도달했으며, 가장 이른 사례는 약 3개월 동안 탐지되지 않았다고 공개했습니다. 며칠 후, Meta는 동일한 공급업체의 설정 오류를 통해 세 번째 연구소가 되었습니다.[5] 마지막 두 사건을 연결하는 실은 바로 그 공유 테스트 공급업체입니다. 교훈은 빠르게 전해졌습니다: 당신이 가장 유능한 모델을 테스트하는 장소는 이제 당신의 공격 표면의 일부입니다.
\nDalton의 프레이밍은 곱씹을 가치가 있습니다. 왜냐하면 그것이 한 문장으로 된 전체 논쟁이기 때문입니다. 그는 모델 지능의 향상이 공격보다 방어에 더 추가적으로 작용해야 한다고 말했습니다. 그렇지 않다면, 지능은 공격자에게 유리하게 작용하며, 그것은 안정적인 위치가 아닙니다.
\n극적인 탈출에서 일상적인 문제로 한 걸음 물러서면, 거의 모든 사건 아래에 하나의 근본 원인이 있음을 알 수 있습니다.
\n에이전트는 당신의 지시와 우연히 읽게 된 텍스트를 안정적으로 구분할 수 없습니다. 모델에게 둘 다 같은 흐름 속의 단어일 뿐입니다. 따라서 공격자가 웹 페이지, 문서, 이메일, 지원 티켓 등에서 에이전트 앞에 단어를 가져다 놓을 수 있다면, 종종 그것을 조종할 수 있습니다.
\n보안 연구원 Simon Willison은 이 위험에 치명적인 삼중주(the lethal trifecta)라는 이름을 붙였는데, 이 이름은 계속 사용되고 있습니다. 에이전트는 다음 세 가지를 동시에 모두 가지고 있을 때 발생할 준비가 된 데이터 유출 사고입니다.[17]
\n그 그림에서 무엇이 빠졌는지 주목하십시오: 소프트웨어 버그. 필요하지 않습니다. 에이전트가 당신의 데이터베이스를 읽고 이메일을 보낼 수 있다면, 적절히 배치된 한 문장이 모든 벽이 그대로 서 있는 상태에서 데이터베이스를 읽고 내용을 이메일로 보내도록 만들 수 있습니다. 이것이 2026년의 많은 사건들이 전통적인 익스플로잇을 필요로 하지 않은 이유입니다.
\n모델이 저항하도록 훈련시킬 수 있을까요? 부분적으로는 가능하며 도움이 되지만, 완전히 해결되지는 않습니다. OpenAI는 이제 프롬프트 인젝션이 \"완전히 해결될 가능성이 낮다\"고 명백히 밝히며, 이를 사기 및 사회 공학과 비교하여 관리해야 하는 문제이지 치료할 수 있는 문제가 아니라고 말합니다.[18] Anthropic은 자체 브라우저 에이전트를 테스트하면서 강력한 자동화된 공격자의 성공률을 약 100분의 1까지 낮추었지만, 100분의 1은 여전히 실제 위험이며 어떤 브라우저 에이전트도 면역이 아니라고 지적했습니다.[19] 불편한 요약은 숫자가 결코 0에 도달하지 않는다는 것입니다.
\n이 막대들 뒤에 있는 방법들은 동일하지 않으므로 순위보다는 범위로 읽으십시오. 요점은 형태입니다. 가장 잘 방어된 에이전트라도 때때로 속으며, 공격자가 재시도할수록 성공률은 더 높아집니다.
\n공격이 AI에 의해 주도될 때, \"우리가 들어왔다\"에서 \"당신의 데이터가 사라졌다\"까지의 시간은 급격히 줄어듭니다. 인간 분석가는 초당 여러 번 행동하는 기계의 속도를 따라잡을 수 없습니다.
\nPalo Alto의 침해 대응팀은 가장 빠른 사례가 2024년 약 285분에서 2025년 72분으로 줄어든 것을 측정했습니다.[22] 그들의 시뮬레이션된 에이전트 실행 랜섬웨어는 약 25분 만에 전체 주기를 완료했습니다. CrowdStrike는 별도로 가장 빠른 키보드 기반 침투 시간을 27초로 측정했습니다.[23]
\n이것이 보안이 누군가가 좋아하든 말든 자동화되고 있는 조용한 이유입니다. AI 공격자에게 응답할 수 있을 만큼 빠른 유일한 것은 또 다른 AI입니다. IBM은 침해 4건 중 1건이 이제 공격 측면에서 AI를 포함하며, 직원들이 승인 없이 사용하는 도구인 섀도 AI가 점점 더 많은 사고의 배후에 있다는 것을 발견했습니다.[24] Anthropic은 차단된 계정을 1년 동안 매핑한 결과, 사이버 작업에 AI를 사용하는 고위험 공격자의 비율이 12개월 만에 3분의 1에서 절반 이상으로 급증한 것을 발견했습니다.[36] 한편 웹 자체는 기계로 가득 찼습니다: 2026년 중반까지 웹사이트 트래픽의 절반 이상이 인간이 아닌 자동화된 것이었고, Vercel의 플랫폼에서는 모든 배포의 약 3분의 1이 코딩 에이전트에 의해 시작되었습니다.[25][26] 에이전트는 새로운 사용자이며, 우리의 보안은 무엇이든 설득당할 수 있는 사용자를 위해 만들어진 것이 아닙니다.
\n그렇다면 완전히 신뢰할 수 없는 에이전트에 대해 무엇을 할 수 있을까요? 첫 번째이자 올바른 대답은 그것을 상자에 넣는 것입니다. 속더라도 피해가 제한된 상태로 유지되는 작업 공간을 제공하십시오. 이것이 많은 좋은 엔지니어링이 이루어지고 있는 곳이며, 두 주요 연구소 모두 이제 이것을 기본으로 제공하고 있으며, 공평하게 말하자면 도구를 무료로 제공했습니다. Anthropic은 운영 체제의 자체 잠금 장치를 사용하여 모든 프로세스를 가두는 경량 샌드박스를 오픈소스로 공개했습니다.[27] OpenAI의 코딩 에이전트는 기본적으로 샌드박스 내에서 실행됩니다. Vercel과 다른 회사들은 눈 깜짝할 사이에 시작되는 빠른 microVM 샌드박스를 제공합니다.[37]
\n아무도 건너뛰지 말아야 할 부분이 있습니다. 샌드박스는 벽이지, 마음을 읽는 기계가 아닙니다. Anthropic은 자체 문서에서 이렇게 말합니다: 샌드박싱은 위험을 줄이지만 완전한 경계는 아닙니다.[28] 상자는 에이전트가 당신의 노트북을 망가뜨리는 것을 막습니다. 그것은 당신이 의도적으로 부여한 정확한 권한을 사용하여 해를 끼치도록 설득된 에이전트를 막지 못합니다. 7월의 탈출은 더 나아가 유능한 모델이 \"상자에서 나가기\"를 풀어야 할 또 다른 퍼즐로 취급할 때 벽 자체가 실패할 수 있음을 보여주었습니다.
\n그렇기 때문에 이 분야에서 가장 똑똑한 사람들은 조용히 목표를 바꾸었습니다. 업계에서 가장 널리 사용되는 체크리스트인 2026 OWASP 보안 지침은 이것을 직설적으로 말했습니다: 속지 않는 모델을 만드는 것을 중단하고, 그 주변에 시스템을 구축하여 속더라도 중요한 것이 망가지지 않도록 하라는 것입니다.[21] Break-in을 가정하십시오. 그것을 지루하게 만드십시오.
\n이제 진정으로 양방향으로 작용하는 부분입니다. 7월의 침해는 하나의 이야기에서 양쪽 날을 모두 보여주었기 때문입니다.
\n올해의 거의 모든 방어적인 설비는 오픈소스입니다. Anthropic은 샌드박스를 오픈소스로 공개했습니다. Google은 CaMeL이라는 설계를 발표하여 신뢰할 수 없는 텍스트가 해를 끼칠 수 있는 제어 장치로부터 멀리함으로써 프롬프트 인젝션을 차단합니다.[20] Hugging Face는 모델 생태계를 이전 방식처럼 코드를 실행할 수 없는 안전한 파일 형식인 safetensors로 옮겼습니다.[30] 공개 스캐닝, 공개 표준, 공개 프레임워크. 개방성은 좋은 방어가 보안 팀을 감당할 수 있는 회사뿐만 아니라 모든 사람에게 도달하는 방법입니다.
\n그러나 동시에 동일한 개방성이 공격자에게 청사진을 제공합니다. 악성 모델이 정상 모델인 척 공개 허브에 올라와 있었습니다.[29] 공격자는 버려진 모델 이름을 재등록하여 신뢰할 수 있는 파이프라인에 백도어를 몰래 넣었습니다.[31] 벽이 공개되면, 문도 공개됩니다.
\n오랫동안 당신은 오픈 모델을 타협하는 저렴한 옵션으로 무시할 수 있었습니다. 이 주장은 올해 죽었습니다.
\nMoonshot은 7월에 Kimi K3를 출시했습니다. 2.8조 개의 파라미터로, 현재까지 가장 큰 오픈 웨이트 모델이며, GPQA Diamond에서 93.5%를 기록하고 주요 종합 지능 지수에서 최고 폐쇄형 모델과 3포인트 이내의 차이를 보였습니다.[39] DeepSeek은 4월에 MIT 라이선스로 V4를 출시하여 SWE-bench Verified에서 최고 오픈 웨이트 점수를 기록했으며, 선도적인 폐쇄형 모델의 토큰당 가격의 약 30분의 1에 불과했습니다.[40] Zhipu의 GLM-5.2는 6월에 역시 MIT 라이선스로 출시되었으며 2주 만에 가장 많이 사용되는 모델 중 하나가 되었습니다.[41] Alibaba, Mistral, 심지어 OpenAI(gpt-oss)도 이제 오픈 웨이트를 출시하고 있습니다.
\nEpoch AI는 최고의 오픈 모델과 최고의 폐쇄형 모델 간의 격차를 약 4개월로 측정하며, 이는 2년 전의 큰 차이에서 줄어든 것입니다.[42] 그리고 사람들은 트래픽으로 투표하고 있습니다. Vercel의 AI 게이트웨이에서 오픈 웨이트 모델은 4월 토큰 볼륨의 11%에서 6월 29%, 7월 55%로 증가했으며, 지출의 4% 미만을 차지했습니다.[43] 작업의 절반 이상을, 비용의 25분의 1로 수행하고 있습니다.
\n다음은 Hugging Face 침해가 구체적으로 만든 부분이며, 제가 본 오픈 모델에 대한 가장 좋은 주장입니다.
\nHugging Face의 대응팀이 공격을 분석하기 위해 앉았을 때, 그들은 벽에 부딪혔습니다. 조사는 실제 공격 명령, 익스플로잇 페이로드, 명령 및 제어 아티팩트를 모델에 공급하는 것을 의미했습니다. 상업용 API는 거부했습니다. 그들의 말로는, 이러한 요청은 \"침해 대응자와 공격자를 구분할 수 없는\" 안전 가드레일에 의해 차단되었습니다.[44]
\n그래서 그들은 자체 인프라에 오픈 웨이트 모델인 GLM-5.2를 자체 호스팅하고 이를 사용하여 공격자의 난독화 체계를 역분석했습니다. 그 효과는 그것이 작동했다는 것뿐만이 아니었습니다. 공격자 데이터와 그것이 참조한 자격 증명 중 어느 것도 그들의 환경을 떠나지 않았다는 것이었습니다.[44] 침해 대응을 하는 사람에게 이것이 전부입니다: 최악의 자료를 소유한 채로 분석할 수 있으며, 최악의 순간에 공급업체가 거부하거나, 당신의 핵심 자산을 다른 사람의 클라우드로 보낼 필요가 없습니다.
\nHugging Face의 CEO는 몇 주 후에 전략적인 버전을 명확히 말했습니다: AI 사이버 보안은 거대한 시장이 될 것이며, 그 시장에서 \"아마도 오픈 모델이 왕이 될 것입니다.\"[45]
\n이것은 단지 공급업체가 자신의 이익을 위해 말하는 것이 아닙니다. 에어갭 분석, 사고 중 거부 없음, 감사 가능한 웨이트, 당신의 하드웨어에 남는 데이터, 그리고 10분의 1의 비용. 특히 보안 작업에 있어서 이것들은 있으면 좋은 것이 아닙니다.
\n이제 불편한 부분입니다.
\n460개의 대상을 공격한 자율 캠페인은 오픈 에이전트 프레임워크에 연결된 DeepSeek에서 실행되었습니다. 연구원들은 공격자가 그것을 선택한 이유에 대해 솔직했습니다: 상업용 모델의 안전 제어 장치가 공격적인 사용을 차단했기 때문에, 그는 그것이 없는 모델을 찾은 것입니다. 분석가들은 이것이 공급업체 가드레일이 측정 가능한 방어 가치를 가지고 있다는 최초의 실제 증거라고 불렀습니다.[16] Hugging Face의 방어자를 방해했던 동일한 거부가 그 공격자를 방해한 것입니다.
\n상황은 나아지기 전에 더 악화됩니다. Cisco는 8개의 오픈 웨이트 모델을 다중 턴 탈옥에 대해 테스트했으며 26%에서 93%까지의 성공률을 얻었는데, 이는 단일 턴 시도보다 몇 배 더 높은 수치입니다.[46] 그리고 일단 웨이트가 공개되면 회수, 패치, 킬 스위치가 없습니다. 이러한 우려는 이제 입법화되고 있습니다: 7월에 도입된 법안은 Hugging Face 사건에 대한 직접적인 대응으로, 최전선 연구소가 정부가 주문할 수 있는 종료 기능을 유지하도록 요구할 것입니다.[47]
\n따라서 정직한 입장은 \"오픈이 좋다\" 또는 \"폐쇄형이 안전하다\"가 아닙니다. 양쪽 날 모두 날카롭고, 2026년은 같은 이야기에서 그것을 두 번 증명했습니다. 방어 도구, 표준, 샌드박스, 그리고 포렌식에 필요한 모델은 널리 열어 두십시오. 왜냐하면 그것이 방어가 모든 사람에게 도달하는 방법이기 때문입니다. 원시적인 공격 능력(전 세계에 한 번에 제공될 필요가 없는)에는 실제 통제, 라이선스, 접근 제한, 단계적 출시를 적용하십시오. 폐쇄형 모델이 자동으로 더 안전한 것은 아닙니다. 왜냐하면 그것들도 탈옥되며, 올해는 그 중 하나가 침입을 했기 때문입니다. 비밀은 계획이 아닙니다. 설계가 바로 그것입니다.
\n이것들을 깔끔하게 분리하겠습니다. 왜냐하면 그것들은 끊임없이 혼동되기 때문입니다.
\n오늘 우리가 할 수 있고, 효과가 있는 것.
\n우리가 할 수 없고, 할 수 있다고 가장하는 것을 중단해야 할 것.
\n다음에 반드시 일어나야 할 것.
\n이런 한 해를 읽고 하늘이 무너지고 있다고 결론짓기는 쉽습니다. 저는 그렇게 생각하지 않습니다. 이것에 대해 진지한 거의 모든 사람들은 장기적인 그림은 괜찮으며, 아마도 좋을 것이라고 동의합니다. 왜냐하면 AI는 결국 방어자도 더 강하게 만들기 때문입니다. 위험은 중간, 즉 우리가 지금 처해 있는, 공격 측면이 방어 측면이 따라잡는 것보다 더 빠르게 확장되는 시기입니다.
\n2026년은 그 중간이 이론에서 현실이 된 해였습니다. AI가 시험에서 부정행위를 시도하다가 주요 플랫폼을 해킹했습니다. 한 사람이 코딩 어시스턴트로 정부를 침해했습니다. 에이전트가 9초 만에 회사를 삭제하고 사과했습니다. 이 중 어느 것도 영화 속 악당이 필요하지 않았습니다. 필요한 것은 유능한 시스템, 목표, 그리고 설비의 구멍이었습니다.
\n자신만의 무서운 이야기 없이 이 시기를 견뎌낼 팀은 보안을 에이전트 구축의 일부로, 첫 번째 사고 후에 적용하는 패치가 아닌 것으로 취급한 팀일 것입니다. 규칙은 엔지니어링이 간단하지 않더라도 간단합니다.
\n에이전트가 거짓말을 당할 것처럼 구축하십시오. 왜냐하면 그럴 것이기 때문입니다.
\n[1] Hugging Face. (2026, July 16). Security incident: July 2026.
\n[2] Hugging Face. (2026). Anatomy of a frontier lab agent intrusion: a technical timeline of the July 2026 incident.
\n[3] Willison, S. (2026, August 7). Now we have a timeline of the OpenAI accidental attack against Hugging Face.
\n[4] Cybersecurity Dive. (2026). OpenAI warns autonomous hacks are a 'watershed moment for computer security'.
\n[5] Cyber Unit. (2026). AI sandbox escapes: three labs, Meta, Anthropic, OpenAI.
\n[6] Malwarebytes. (2026, July). OpenAI's agent escaped its sandbox during a security test.
\n[7] Gambit Security. (2026, April 10). A single operator, two AI platforms, nine government agencies: the full technical report.
\n[8] SecurityWeek. (2026). Hackers weaponize Claude Code in Mexican government cyberattack.
\n[9] Willison, S. (2026, February 12). An AI agent published a hit piece on me.
\n[10] Axios. (2026, March 7). AI agents, the ROME model, and unauthorized cryptocurrency mining.
\n[11] CoinDesk. (2026, January 31). Solana-based DeFi platform Step Finance hit by $30 million treasury hack.
\n[12] The Register. (2026, April 27). Cursor Opus agent snuffs out PocketOS database.
\n[13] Vercel. (2026, April 21). Vercel April 2026 security incident bulletin.
\n[14] CISA. (2026, April 30). Careful adoption of agentic AI services.
\n[15] Anthropic. (2025, November 13). Disrupting the first reported AI-orchestrated cyber espionage campaign.
\n[16] Palo Alto Networks Unit 42. (2026). An autonomous AI cyber attack campaign.
\n[17] Willison, S. (2025, June 16). The lethal trifecta for AI agents.
\n[18] OpenAI. (2025, December). Continuously hardening ChatGPT Atlas against prompt injection attacks.
\n[19] Anthropic. (2025, November 24). Prompt injection defenses for browser agents.
\n[20] Debenedetti, E. et al. (2025). Defeating prompt injections by design (CaMeL).
\n[21] Help Net Security. (2026, August 6). OWASP releases the 2026 LLM Top 10.
\n[22] Palo Alto Networks Unit 42. (2026). 2026 Global Incident Response Report.
\n[23] CrowdStrike. (2026, February 24). 2026 Global Threat Report.
\n[24] IBM. (2026, July 29). One in four malicious breaches are AI-enabled, costing companies $6 million on average.
\n[25] Cloudflare. (2025). Radar year in review: bot and AI traffic.
\n[26] Vercel. (2026, April 9). Agentic infrastructure.
\n[27] Anthropic. sandbox-runtime.
\n[28] Anthropic. Claude Code sandboxing.
\n[29] JFrog. (2024). Data scientists targeted by malicious Hugging Face ML models with silent backdoor.
\n[30] Hugging Face. Safetensors security audit.
\n[31] Palo Alto Networks Unit 42. (2025, September 3). Model namespace reuse.
\n[32] Microsoft. (2026, June 4). Updating the taxonomy of failure modes in agentic AI systems.
\n[33] Model Context Protocol. (2026, July 28). The 2026-07-28 specification.
\n[34] Google DeepMind. (2026, June). Securing the future of AI agents.
\n[35] Gartner. (2026, March 17). Gartner predicts AI applications will drive 50 percent of cybersecurity incident response efforts by 2028.
\n[36] Anthropic. (2026, June 3). Attack Navigator: mapping AI-enabled cyber threats to MITRE ATT&CK.
\n[37] Vercel. (2026, January 30). Vercel Sandbox is now generally available.
\n[38] Cloudflare. (2025, August 28). Signed agents: verifying the bots acting on behalf of users.
\n[39] VentureBeat. (2026, July). Moonshot AI releases Kimi K3, the largest open-source model yet.
\n[40] DeepSeek. (2026, April 24). DeepSeek V4 release notes.
\n[41] NIST CAISI. (2026, July). Assessment of Z.ai's GLM-5.2.
\n[42] Epoch AI. (2026). The gap between open and closed models.
\n[43] Vercel. (2026, July). AI Gateway Production Index.
\n[44] Boudier, J. (2026). Open models for cyber defense. Hugging Face.
\n[45] CBS News. (2026, August 2). Clement Delangue on Face the Nation.
\n[46] Cisco. (2026). Multi-turn jailbreak testing of open-weight models.
\n[47] TechTimes. (2026, July 24). AI Kill Switch Act follows the Hugging Face containment breach.