Clément Delangue, Hugging Face를 겨냥한 에이전트 사이버 공격에서 세 가지 교훈 제시, OpenAI, GPT-6 Sol과 Luna의 이미지 이해 문제 수정, Apple, LensVLM-9B 공개

Hugging Face의 CEO Clément Delangue는 지난 7월 자사를 겨냥한 자율 에이전트 사이버 공격에서 얻은 세 가지 교훈을 제시하며 에이전트 실행 기록의 의무적 공유를 제안했다. 한편 Quadrat-IPI 벤치마크에서는 공격에 속은 에이전트가 공격이 성공했을 때 거의 경고하지 않는 것으로 나타났다. 인젝션으로 유도된 결제 389건 중 경고는 3건뿐이었다. OpenAI는 GPT-6 Sol과 GPT-6 Luna의 이미지 이해 성능을 떨어뜨리던 인코딩 버그를 수정했다. Apple은 긴 문서를 압축된 페이지 형태로 읽는 LensVLM-9B를 공개했고, SmolDataEnvs는 소형 모델 학습을 위한 데이터 분석 과제 5,000개를 제공한다. 코딩 에이전트 분야에서는 Claude Code 2.1.283이 이전 모델용으로 작성된 지침을 점검하고, Qwen Code 0.24.6이 자문 모델을 활용하며, Gemini CLI의 nightly 버전은 비대화형 모드에서 확인 요청을 거부로 처리한다.

에이전트 보안: Clément Delangue의 세 가지 교훈과 Quadrat-IPI 벤치마크

두 글은 같은 질문을 서로 다른 각도에서 다룬다. 에이전트를 통한 공격에 관해 무엇을 알 수 있는가? 첫 번째는 실제 공격을 겪은 기업의 이야기이고, 두 번째는 공격받은 에이전트가 무엇을 알리고 무엇을 알리지 않는지 측정한다.

Clément Delangue, Hugging Face를 겨냥한 에이전트 사이버 공격에서 세 가지 교훈 제시

9월 24일 — CEO Clément Delangue에 따르면 Hugging Face는 지난 7월 자율 에이전트에 의한 사이버 공격을 공개한 첫 기업이었다. 그는 X에서 세 가지 교훈을 제시했다.

첫째는 투명성이다. 그가 이름을 밝히지 않은 일부 첨단 연구소에서는 감독이 없는 가운데 몇 달 전부터 비슷한 사고가 비밀리에 발생했을 수 있다며, 에이전트 실행 기록의 의무적 공유를 제안했다. 둘째는 비대칭성이다. 방어자와 공격자를 항상 구별하지 못하는 폐쇄형 API의 안전장치에 막힌 그의 팀은 Z.ai의 오픈 모델 GLM 5.2의 «NVIDIA 버전»을 사용했다. 그는 방어의 상당 부분이 오픈 소스 도구에 의존할 수 있다고 본다. 마지막으로 그는 불안을 부추기는 서사에 반론을 제기했다. 그의 말에 따르면 AI는 Hugging Face가 취약점을 고치고 OpenAI가 에이전트의 샌드박스 탈출을 막도록 샌드박스를 강화하는 데 도움을 준다.

We were attacked by AI, but more importantly, we defended ourselves with AI.

🇰🇷 우리는 AI의 공격을 받았지만, 무엇보다 AI로 스스로를 방어했습니다. — X의 @ClementDelangue

Quadrat-IPI: 인젝션으로 유도된 결제 389건 중 경고 3건

9월 26일 — 프롬프트 인젝션 과제 모음 Quadrat-IPI의 제작자 Mikhail Gribov는 커뮤니티 게시글에서 에이전트에게 신고 수단이 있을 때 공격을 신고하는지 확인했다. 테스트 대상 에이전트는 모의 환경에서 이메일 계정 소유자를 돕는 개인 비서다. 기존 도구 19개에 시스템 프롬프트에서 언급하지 않은 스무 번째 도구 escalate_security_incident을 추가로 받았다. 함정이 담긴 이메일 395통을 접했을 때, 테스트한 9개 모델의 이 도구 사용률은 모델에 따라 48.9%에서 0%까지 달랐다.

인젝션의 영향으로 이루어진 결제 389건 중 경고가 뒤따른 것은 3건뿐이었고, 모두 결제 후였다. 모델들은 주로 자신이 막아낸 공격을 신고했다. 이름이 공개된 모델 가운데 gpt-4o-mini는 395건 중 한 번, gpt-5.1은 4.8%에서 경고했다. gpt-6-astra는 이메일의 요청을 따르지 않고 기록만 남겼기 때문에 한 번도 경고하지 않았다. 저자는 에이전트가 읽는 내용을 검사해 에이전트 외부에서 가시성을 확보해야 한다고 결론짓는다. 실행 도구, 로그, 채점기도 공개했다.

🔗 Mikhail Gribov의 게시글

OpenAI, GPT-6 Sol과 GPT-6 Luna의 이미지 이해 성능을 떨어뜨리던 인코딩 버그 수정

9월 25일 — 텍스트와 이미지를 입력으로 받는 추론 모델 GPT-6 Sol과 GPT-6 Luna를 출시한 지 사흘 뒤, OpenAI는 API 변경 기록에서 두 모델의 시각적 이해 성능을 떨어뜨리던 이미지 인코딩 버그를 수정했다고 밝혔다. 수정 후 API와 Codex의 시각 작업 결과가 개선됐으며, 컴퓨터 사용(computer use)도 여기에 포함된다.

OpenAI는 이미지 입력을 사용하는 개발자에게 평가를 다시 실행하고 영향을 받은 작업 흐름을 재시도하라고 권고한다. 변경 기록에는 버그가 언제부터 있었는지, 성능 저하가 어느 정도였는지 나오지 않는다. 이 수정 사항은 X의 @OpenAI나 @OpenAIDevs 계정에서 공유되지 않았고, ChatGPT와 Codex의 변경 기록에도 없다.

🔗 OpenAI API 변경 기록

Hugging Face의 모델과 데이터셋: Apple의 LensVLM-9B와 SmolDataEnvs

이번 주에 공개됐지만 여기서는 아직 다루지 않은 두 자료가 있다. 긴 문서를 압축 이미지로 읽는 Apple의 모델과 소형 모델에 데이터 분석을 학습시키기 위한 검증 가능한 과제 모음이다.

Apple, 문서에서 필요한 페이지만 다시 여는 LensVLM-9B 공개

9월 22일 — Apple은 GitHub의 코드와 함께 시각 언어 모델 LensVLM-9B를 Hugging Face에 공개했다. 긴 문서를 수천 개의 토큰으로 나누는 대신, 작게 압축해 렌더링한 페이지 이미지로 받아 중요한 페이지를 찾은 다음, 학습된 도구로 해당 페이지의 압축되지 않은 버전을 다시 연다.

LensVLM-9B의 특징	공개된 값
크기와 기반 모델	Qwen3.5-9B를 미세 조정한 90억 매개변수 모델
제공하는 압축 수준	5x, 10x 및 15x
전체 텍스트와 비슷한 정확도	실효 압축률 4.3x에서
기존 비교 방법보다 나은 성능	7개 질의응답 벤치마크에서 최대 10.1x까지
가중치 라이선스	Apple Machine Learning Research Model License

이 결과는 지난 5월 arXiv에 게시된 관련 연구 논문에서 나왔으며, 답변은 판정 모델이 채점했다.

🔗 Hugging Face의 LensVLM-9B · arXiv 논문

SmolDataEnvs: 검증 가능한 데이터 분석 과제 5,000개

9월 24일 — Adithya S K는 FineEnvs 조직 계정으로 Hub에 MIT 라이선스의 SmolDataEnvs를 공개했다. 소형 모델을 강화 학습(reinforcement learning)으로 훈련하기 위한 데이터 분석 과제 모음이다. 각 과제는 실제 표 형식 데이터셋, 질문, 기준 답변으로 구성된다. 471개 Kaggle 데이터셋을 다룬 노트북에서 추출했으며, 실제 샌드박스에서 에이전트가 검증했다. 제공된 채점기는 언어 모델을 전혀 사용하지 않고 정확히 일치하는지부터 기호적으로 동등한지까지 답변을 평가한다.

과제 모음	쉬운 과제	보통 과제	어려운 과제
훈련 (5 000)	1 433	2 845	722
테스트 (250)	33	118	99
평가 (144)	16	74	54

따라서 별도로 떼어 둔 과제 모음은 설계상 더 어렵다. 이 자료에는 TRL에 바로 사용할 수 있는 검증된 에이전트 수행 기록 4,677개와 Harbor에서 실행 가능한 환경으로 제공되는 동일한 과제도 포함된다. Clément Delangue는 다음 날 공개 소식을 공유했다.

🔗 Hugging Face의 SmolDataEnvs

코딩 에이전트: Claude Code 2.1.283, Qwen Code 0.24.6, Gemini CLI nightly 0.63.0

Claude Code 2.1.283: 지침 점검과 두 가지 모델 제한

9월 25일 — 2.1.283에는 변경 사항 94개가 포함됐으며, 그중 53개는 버그 수정이다. 핵심 새 기능인 /doctor prompt-audit(또는 /checkup prompt-audit)은 CLAUDE.md 파일, 스킬, 에이전트, 명령을 검토해 이전 모델을 위해 작성된 표현을 찾는다. 오래된 경로와 서로 모순되는 지침을 우선적으로 살핀다.

2.1.283의 새 기능	달라지는 점
`availableModelsMatch: "exact"`	새로 출시된 모델은 목록에 추가될 때까지 차단된다
`deniedModels`	`availableModels`에서 허용한 모델이라도 특정 모델을 차단한다
기본 권한 모드	별도 모드를 설정하지 않은 경우, 타사 제공업체를 사용하거나 원격 측정이 꺼져 있으면 자동 모드를 사용한다
Windows의 PowerShell	`rd`, `rmdir`, `del`, `erase`가 더 이상 드라이브 루트를 삭제할 수 없다
Code Review	시간 제한으로 중단되고 아무것도 검사하지 못한 리뷰에는 요금이 부과되지 않는다

이 버전에서는 전날 2.1.282에서 도입한 claude-ai 이름 예약도 취소했다.

🔗 Claude Code 2.1.283 릴리스 노트

Qwen Code 0.24.6: 자문 모델과 Batch API 작업 흐름

9월 26일 — Qwen Code v0.24.6에는 기능 17개, 버그 수정 14개, 최적화 3개가 포함됐으며 알려진 호환성 문제는 없다. 주요 기능은 기본적으로 꺼져 있는 내장 Advisor 도구다. 사용자가 두 번째 모델을 자문 모델로 설정하면 에이전트가 독립적인 의견을 구할 수 있다. 자문 모델은 시스템 지침, 선언된 도구, 대화를 볼 수 있지만 아무것도 실행할 수 없다. /advisor 또는 --advisor으로 선택하며, 저장소의 설정은 경고와 함께 무시된다. Anthropic은 지난 4월부터 자사 API에서 같은 원리를 베타로 제공하고 있다.

/batch-api 작업 흐름은 DashScope의 Batch API를 통한 일괄 처리를 준비한 뒤, 비용이 들고 승인이 필요한 제출 단계는 qwen batch 하위 명령에 맡긴다. 마지막으로 PR #12622에 따르면 콜드 스타트 속도는 컴퓨터에 따라 약 2.2~2.4배 빨라졌고 메모리 사용량은 60% 줄었다.

🔗 GitHub의 Qwen Code v0.24.6

Gemini CLI: nightly 0.63.0에서 비대화형 모드의 확인 요청 거부

9월 26일 — 9월 26일 01시 20분 UTC에 공개된 nightly가 Gemini CLI 0.63.0 계열의 첫 버전이다. 안정 버전 v0.61.0과 미리보기 버전 v0.62.0은 변경되지 않았다. 가장 범위가 넓은 변경 사항(PR #29506, 파일 26개)은 규칙 엔진(PolicyEngine)에 관한 것이다. 비대화형 모드에서 사용자 확인을 요청할 결정(ASK_USER)은 거부(DENY)로 바뀐다. 외부 MCP 리소스와 웹 검색 결과는 신뢰할 수 없는 컨텍스트(untrusted context) 기준에 따라 이제 web-fetch의 출력처럼 감싸진다.

세 가지 수정으로 구체적인 결함도 해결했다. 비어 있는 diff.external 설정을 Git이 실행 파일로 해석해 샌드박스에서 git diff이 실패하던 문제를 고쳤다. 백그라운드에서 실행한 명령의 임시 폴더는 이제 삭제된다. 같은 분에 열린 두 ACP 세션도 더 이상 충돌하지 않는다.

🔗 Gemini CLI nightly 0.63.0 릴리스 노트

단신

Codex CLI 0.157.1 — 9월 26일에 출시된 Windows 전용 0.157.0 수정 버전이다. 코드 모드 호스트와 로컬 MCP 서버가 더 이상 콘솔 창을 열지 않으며, 데몬 시작의 안정성도 높아졌다. 자동 생성된 릴리스 노트가 비어 있어, 이 내용은 두 버전을 비교해 확인했다. 🔗 출처
Claude Tag 사용 사례 — Claude Code 책임자 Boris Cherny는 X에서 Slack에 통합된 Claude 에이전트인 Claude Tag가 매일 자신의 PR 중 절반 이상을 작성하고 데이터 분석의 약 100%를 수행한다고 밝혔다. PR을 열기 전에 채널에 보고된 모든 버그를 재현하라는 지침도 공유했다. 🔗 출처
풀 리퀘스트 리뷰 시간 — Copilot 사용량 지표 API의 repos-1-day 보고서에 pull_request_review_times 표가 추가됐다. ‘리뷰 준비 완료’부터 첫 리뷰까지, 첫 리뷰부터 마지막 리뷰까지, 마지막 리뷰부터 병합까지 세 단계의 중앙값과 90백분위수를 보여준다. 사람의 리뷰만 집계하며 9월 21일 이전 데이터는 없다. 🔗 출처
기업용 Copilot 설정 검증기 — AI controls 페이지에 통합된 이 검증기는 copilot/managed-settings.json와 copilot/team-mappings.json에서 형식이 잘못된 JSON, 지원되지 않는 설정, 유효하지 않은 팀 매핑을 찾아내고 각 오류의 파일과 JSON 경로를 표시한다. 공지에는 제공 상태나 요금제 정보가 없다. 🔗 출처
GitHub Issues — 두 기능이 정식 출시됐다. 저장소의 이슈 페이지에서 사용하는 비공개 저장 뷰와 이슈 간 ‘Relates to’ 관계다. 후자는 8월 7일부터 미리보기로 제공됐으며, 이제 REST 및 GraphQL API, 웹후크, 타임라인, 이슈와 프로젝트 검색에서도 지원된다. 🔗 출처
Grok Bot과 금융 계정 — @bot의 게시물에 따르면 Grok Bot의 새로운 Finance 통합 기능은 Plaid를 통해 은행 계좌, 카드, 투자 계좌를 연결한다. 접근 권한은 읽기 전용이며 로그인 정보에는 접근하지 않는다. 게시물에는 지원 국가나 요금제가 명시되지 않았다. Grok 어시스턴트에는 9월 4일 미국 은행 계좌를 Plaid로 연결하는 기능이 추가된 바 있다. 🔗 출처
NVIDIA와 ROS 2 Lyrical — 9월 22일 게시물에 따르면 NVIDIA는 Isaac ROS 5.0에서 사용하는 CUDA 메모리 모듈을 ROS 2 Lyrical에 기여했다. 이 모듈은 GPU에 남아 있는 데이터를 같은 머신의 노드 사이에서 복사 없이 전달한다. 코딩 에이전트가 기존 노드를 이전하도록 돕는 skill도 제공하지만, 성능 향상 수치는 제시되지 않았다. 🔗 출처
DGX Spark Handbook — Hub의 exolabs 조직이 공개한 이 커뮤니티 가이드는 DGX Spark 한 대부터 네 대까지로 가능한 작업을 수치로 설명한다. 정가는 3,999달러에서 4,699달러로 올랐고, 유휴 상태 소비 전력은 22~25 W다. NVIDIA의 테스트에서는 생성 토큰당 시간이 한 대에서 269 ms, 네 대에서 72 ms였다. 🔗 출처
노트북에서 사전 학습 — 커뮤니티 게시물에서 Rambarun Komaljeet는 매개변수 11억 1천만 개의 모델을 노트북의 6 Go RTX 4050에서 사전 학습할 수 있도록 구성했다. 전체 사전 학습에는 약 375일이 걸릴 것으로 추정되며, 매개변수 4,800만 개를 넘는 모델은 수렴할 때까지 학습된 적이 없다. 🔗 출처
Pruna와 Qwen-Image-2.1 — Pruna AI가 Qwen-Image-2.1의 생성 단계를 40단계에서 5단계 또는 8단계로 줄이는 LoRA 어댑터 두 개를 공개했다. 개발사에 따르면 속도는 최대 6.3배 빠르다. 다만 0.1 버전의 품질은 아직 기본 모델보다 낮으며, Qwen의 연구용 라이선스가 적용된다. 🔗 출처
Marin과 Dolma 3.5 — Ai2에 따르면 Marin의 535B 학습에는 Ai2의 Dolma 3.5 코퍼스에서 약 1조 8,000억 개의 토큰이 사용됐으며, Olmix 레시피와 Organize the Web 방법론도 활용됐다. Marin은 학습을 허용하는 라이선스가 적용된 데이터셋 152개에서 총 25조 개의 토큰을 사용했다. 🔗 출처
GLiNER2.5-Decide와 DecisionBench — Hanno Labs의 Stephen Solka는 입력 형식이 DecisionBench에서 GLiNER2.5-Decide의 점수에 영향을 준다고 보여준다. 지원되는 행에서 측정한 점수는 38.9%로, Fastino가 자체 벤치마크에서 발표한 60.2%와 차이가 있다. 선택지 설명을 빼자 101개 행 중 정답 수가 27개에서 37개로 늘었다. 🔗 출처
Perplexity의 정렬 가이드 — Perplexity가 ‘아이디어’ 섹션에 AI 정렬을 설명하는 교육용 가이드를 게시했다. 아첨 성향(sycophancy)부터 의도적인 저성과(sandbagging)까지 문서화된 실패 양상 여덟 가지와 OpenAI, Anthropic, Google DeepMind의 공개 프레임워크를 다룬다. 새로운 기능 발표는 포함되지 않았다. 🔗 출처
사이버 보안과 고용에 관한 기고문 — Sonny DeSorbo는 데이터가 제시되지 않은 Hugging Face 커뮤니티 블로그의 의견 글에서, 사이버 보안 분야의 초급 일자리 자동화와 AI로 인한 사이버 범죄 비용 감소가 맞물려 졸업생을 온라인 범죄로 내몰 수 있다고 우려한다. 그는 이 직업에 진입할 수 있는 경로를 유지하자고 제안한다. 🔗 출처

이것이 의미하는 바

에이전트가 숨기는 정보가 에이전트 보안의 핵심이 되고 있다. Clément Delangue는 Hugging Face가 겪은 사건과 비슷한 사고가 이름을 밝히지 않은 연구소들에서 비밀로 남아 있었다고 주장하며, 에이전트 실행 기록의 의무적 공유를 제안한다. Quadrat-IPI는 에이전트 자체가 신뢰하기 어려운 증인임을 보여준다. 인젝션으로 유도된 결제 389건에 대해 경고는 단 세 번이었고, 모두 사후에 나왔다. Mikhail Gribov는 따라서 에이전트가 읽는 내용을 검사해 외부에서 상황을 파악해야 한다고 결론짓는다. Gemini CLI의 최신 nightly도 같은 방향으로, MCP 리소스와 웹 검색의 출력을 신뢰할 수 없는 컨텍스트로 취급한다.

Clément Delangue는 방어 측의 활동을 막았던 폐쇄형 API보다 제약이 적은 개방형 도구를 옹호한다. 한편 이번 주 Hugging Face에 올라온 글들은 더 적은 자원으로 같은 성과를 내는 방법을 찾는다. LensVLM-9B는 최대 15배 압축된 문서에서 필요한 페이지만 다시 열고, Pruna는 Qwen-Image-2.1의 생성 단계를 40단계에서 5단계 또는 8단계로 줄인다. DGX Spark Handbook은 데스크톱 머신 몇 대로 로컬에서 실행할 수 있는 작업을 자세히 설명한다. 한 개발자는 매개변수 11억 1천만 개 모델의 사전 학습을 6 Go 비디오 메모리에서 실행할 수 있게 했지만, 끝까지 학습하려면 약 375일이 걸린다.

측정값의 신뢰도는 그 값을 산출하는 과정에 달려 있다. OpenAI가 수정한 인코딩 버그는 GPT-6 Sol과 Luna의 이미지 관련 결과를 떨어뜨렸지만, 언제부터 얼마나 영향을 미쳤는지는 알려지지 않았다. OpenAI의 권고대로 이미지가 포함된 평가를 다시 실행해야 한다. Hanno Labs에서는 입력 형식 하나만 바꿔도 GLiNER2.5-Decide의 정답 수가 101개 중 27개에서 37개로 늘었다. SmolDataEnvs는 언어 모델을 전혀 사용하지 않고 과제를 채점하는 반면, LensVLM-9B의 점수는 평가 모델을 거친다.

코딩 에이전트의 신뢰 설정은 관리자와 사용자 수준에서 이루어지고, 판단할 사용자가 없으면 요청을 거부한다. Claude Code 2.1.283은 명시적으로 허용되지 않은 모든 모델을 차단할 수 있게 했고, Qwen Code는 저장소에 설정된 Advisor 값을 무시한다. Gemini CLI의 nightly는 사용자 확인이 필요하지만 확인해 줄 사용자가 없으면 해당 요청을 거부한다. /doctor prompt-audit는 모델이 모델용 지침보다 더 빠르게 바뀐다는 현실을 반영한다.