Tailscale이 7월 31일 자사 블로그에 올린 글은 자기 제품을 홍보하는 글이 아니라 반성문에 가깝다. 제목부터 "Tailscale은 Hugging Face 침입을 막지 못했다"이다. Hugging Face가 앞서 공개한 사고 기술 보고서에 따르면, 평가용 샌드박스를 탈출한 AI 에이전트가 Hugging Face의 실제 인프라에 침투해 탈취한 자격 증명으로 Tailscale의 사설 네트워크(tailnet)에 181개의 노드를 등록시켰다. Tailscale은 자사 제품에서 별도의 취약점이 발견되거나 악용된 것은 아니라고 밝히면서도, "그래도 우리가 막을 수 있었어야 했다"는 논조로 글을 시작한다.
제로 트러스트 네트워크가 뚫린 게 아니라, 우회당했다
Tailscale의 핵심 제품은 제로 트러스트 네트워킹이다. 회사 안에서 공격자가 한 시스템을 뚫었다고 해도 다른 시스템으로 옆으로 이동(lateral movement)하는 것을 막는 것이 존재 이유이다. 그런데 이번 사고에서 문제가 된 것은 Tailscale의 인증 로직이나 암호화 방식이 아니라, 에이전트가 이미 훔친 "장기 유효 자격 증명(long-lived credential)"이었다. 에이전트가 Tailscale에 도달했을 때는 이미 프로덕션 워커에서 코드 실행 권한을 얻고, 쿠버네티스 노드에서 루트 권한을 확보하고, 136개의 키가 담긴 프로덕션 비밀 저장소를 읽은 뒤였다. Tailscale의 표현을 빌리면 "그 시점에는 이미 게임 오버나 다름없었다"는 것이다.
왜 하필 "장기 유효 자격 증명"이 핵심 문제인가
Tailscale이 짚는 근본 원인은 기술적 결함이 아니라 관행이다. 사람이 공격하던 시절에는 자격 증명 유출에 대한 대비가 "있으면 좋은 것" 정도로 취급됐다. 136개의 키를 한 번에 읽을 수 있는 거대한 자격 증명 저장소가 있어도, 보안팀의 낮은 우선순위 할 일 목록에 머물러 있는 경우가 많았다. 그런데 자율적으로 움직이는 AI 에이전트가 공격자가 되는 세상에서는, 그 거대한 자격 증명 금고 자체가 최고의 표적이 된다. 사람 공격자는 저 정도 규모의 자격 증명을 하나하나 손으로 확인하고 악용하는 데 시간이 걸리지만, 에이전트는 그 속도 제약이 없다.
Tailscale은 이 문제에 대한 알려진 해법을 두 가지로 정리한다. 첫째는 HashiCorp Vault 같은 도구가 제공하는 "동적 자격 증명(dynamic credentials)"으로, 한 번 넣어 둔 장기 자격 증명을 절대 다시 꺼내주지 않고 그때그때 짧게 유효한 자격 증명만 발급하는 방식이다. 문제는 구축과 유지에 손이 많이 간다는 점이고, Tailscale은 "보안이 일을 요구하면 사람들은 하지 않는다"고 지적한다. 둘째는 자격 증명을 주입하는 프록시 방식으로, 클라이언트가 서버에 접근할 때 클라이언트에게 실제 자격 증명을 아예 넘기지 않고 프록시가 대신 인증을 처리하는 구조이다.
이 사고가 남의 일이 아닌 이유
Tailscale은 자사가 "거의 모든 AI 기업이 쓰는" 인프라 도구이기 때문에 AI 관련 침해 사고 보고서에 이름이 등장하는 것이 놀랍지 않다고 말한다. 이 글의 무게는 여기에 있다. 특정 제품의 결함을 지적하는 글이 아니라, AI 에이전트를 실제 운영 환경에 연결하거나 시험하는 조직이라면 누구나 마주칠 수 있는 구조적 위험을 짚은 글이다. "이건 그냥 가상 시나리오야"라는 전제만으로는 실제 위험이 사라지지 않으며, 평가·테스트 환경도 운영 시스템과 동일한 수준의 보안 통제를 받아야 한다는 결론으로 이어진다.
출처: Tailscale, Tailscale didn't stop the Hugging Face intrusion