미 정부의 6억 달러 'Genesis Mission'이 드러낸 HPC 보안 프레임워크의 공백과 공급망 위협

이 요약은 AI가 원문을 분석해 생성했습니다. 정확한 내용은 원문 기준으로 확인하세요.

TL;DR

미 연방정부가 6억 달러를 투입한 Genesis Mission으로 국가 연구용 슈퍼컴퓨터들이 AI 워크로드로 연결되는 가운데 기존 NIST SP 800-234의 설계 전제들이 대규모 AI 환경에서는 맞지 않는 것으로 확인되었다. NIST SP 800-234는 결정론적 HPC를 전제로 4개 보안 존에 걸쳐 60개 통제를 규정하였으나 AI 워크로드는 실행 시점에 외부 의존성이 동적으로 바뀌고 자동화 에이전트가 업데이트를 수행하기 때문에 경계 스캔·메모리 정리·로딩 시 무결성 증명 같은 가정이 깨진다. 실제 사례로 LiteLLM, Axios, CPU-Z를 겨냥한 공급망 공격은 합법적 전달 채널과 서명을 악용하여 의도만 변질시켰고, 일부 공격은 AI 코딩 에이전트의 자동 업데이트로 인간 검토 없이 확산되었다. 이 사안은 전통적 서명·평판 기반 방어의 한계를 보여주며, 대규모 AI 인프라에서는 실행 시 행동 분석·런타임 무결성 검증·권한 거버넌스 등 보완적 통제가 필요함을 시사한다.

섹션별 상세

미 연방정부가 6억 달러를 투입해 Genesis Mission을 출범시키면서 국가 연구용 슈퍼컴퓨터들을 AI 인프라로 연결하였고, 이 계획에 51개 기관과 주요 클라우드·반도체·AI 기업들이 참여하였다. 이 프로젝트는 대규모 연산 자원을 과학적 시뮬레이션뿐 아니라 광범위한 AI 워크로드에 제공함으로써 이전보다 훨씬 높은 상호연결성과 자동화된 배포 파이프라인을 전제로 한다. 기존 보안 규정인 NIST SP 800-234는 60개 제어를 네 개 보안 존으로 조직하여 결정론적 HPC 작업을 전제로 설계되었기 때문에 이러한 대규모 AI 연결망에서 적용 가능한 전제조건들이 흔들렸다. 따라서 중앙집중적 경계 스캔과 작업 간 메모리 초기화, 로드 시 무결성 보증 같은 가정이 대규모 AI 인프라 환경에서는 현실적 제약을 갖는 것으로 드러났다.

AI 워크로드는 입력·모델·데이터 파이프라인의 가변성 때문에 전통적 HPC의 ‘같은 코드가 같은 방식으로 반복 실행된다’는 전제를 깨뜨린다. 예컨대 모델이 실행 중 동적으로 외부 컨텐츠를 로드하거나 자동화 에이전트가 의존성을 업데이트하면 실행 시점에 환경이 달라지므로 사전 로드 무결성 검증만으로는 신뢰를 보장하기 어렵다. 원문은 이러한 차이로 인해 경계 기반 탐지와 서명 기반 목록이 우회될 수 있음을 지적하며, NIST 프레임워크가 가정한 검사·청소·증명(attestation) 절차가 AI 파이프라인에서는 제대로 작동하지 않는다고 구체적으로 지적했다. 결과적으로 AI 중심 인프라에서는 실행 환경의 동적 변화와 자동화가 보안 통제를 무력화하는 주요 요인이 된다.

최근 사례에서는 세 건의 공급망 공격이 세 주 동안 범용 개발 구성요소를 대상으로 발생했고, 그 표적은 LiteLLM, Axios, CPU-Z 같은 널리 쓰이는 패키지와 배포 채널이었다. 공격자는 Trivy에서 탈취한 자격증명을 통해 PyPI에 악성 버전을 배포하거나, 잊혀진 레거시 액세스 토큰을 이용해 npm 생태계의 신뢰 체인을 우회했으며, 심지어 공식 사이트에 서명된 바이너리를 통해 악성 페이로드를 배포하는 방식으로 전달 경로의 정합성을 확보했다. 이들 공격은 전달 경로와 권한 체인이 합법적으로 보이는 가운데 의도를 변질시킨 사례로서, 자동 업데이트를 수행하던 AI 코딩 에이전트가 인간 검토 없이 감염 버전을 적용한 경우가 확인되어 전통적 서명·평판 기반 탐지가 무력화되었다. SentinelOne은 세 공격을 각각 발생 당일 탐지·차단했다고 보고하여 전통적 방어 기제가 실패한 상황에서 행위 기반·추론 기반 탐지가 실무적 의미를 가졌음을 보여주었다.

용어 해설

고성능컴퓨팅 보안 오버레이(HPC Security Overlay): — NIST SP 800-234로 구현된 개념으로, 고성능컴퓨팅 환경에 특화된 보안 통제를 4개 존과 60개 제어 항목으로 조직하여 결정론적 워크로드의 위협 모델을 전제로 보안 요구사항을 정리한 프레임워크이다. 이 프레임워크는 경계 스캔, 작업 간 메모리 정리, 로드 시 무결성 확인 같은 전통적 HPC 운영 관행을 기준으로 설계되어 대규모 AI 워크로드의 동적 특성과 충돌할 수 있다.
공급망 공격(Supply Chain Attack): — 소프트웨어 유통 경로의 신뢰 요소를 악용하여 최종 사용자 환경에 악성 코드를 주입하는 공격 방식으로, 패키지 저장소, 서명된 배포 채널, 자동 업데이트 파이프라인 등 정상적인 전달 경로가 악용되어 권한과 워크플로가 합법적으로 보이는 상태에서 악의적 의도가 침투하는 것이 핵심이다. 자동화된 업데이트와 에이전트 권한이 확산될수록 피해 확산 속도가 증가한다.
AI 코딩 에이전트(AI Coding Agent): — 개발자 대신 코드 변경·패키지 업데이트·의존성 관리를 자동으로 수행하도록 설정된 자동화 에이전트로, 광범위한 권한으로 저장소나 패키지 매니페스트를 갱신할 수 있다. 인간 검토 없이 자동으로 패키지를 설치하거나 업데이트하면 악성 버전의 유포가 사람이 개입하기 전에 대규모로 전파될 가능성이 커진다.