HuggingFace Hub이 사용 중인 AI 코딩 에이전트를 몰래 지문 채취하여 텔레메트리로 전송함

어떻게 찾았나

내 ASR 모듈(faster-whisper)이 임포트만 하면 왜 huggingface.co로 전화를 거는지 조사하고 있었거든. 호출 경로를 따라가 보니까 이렇더라:

my_code → WhisperModel("base.en") → faster_whisper → huggingface_hub.snapshot_download → HTTPS to huggingface.co

트리거는 이거였음: 로컬 파일 경로 대신 모델 이름을 넘기는 거. faster-whisper에 "base.en" 같은 이름을 던져주면, 모델이 이미 로컬에 캐시되어 있어도 업데이트 확인하려고 huggingface_hub를 호출함. 그리고 그 확인 과정에서 에이전트 핑거프린트까지 같이 보내버리는 거지.

그 .agent_harnesses.json 파일은 그때 호출되면서 캐시된 에이전트 레지스트리였음. 방화벽 만들기 전에 오늘 수정된 거더라.

차단하는 법

옵션 1: 환경 변수

bash

export HF_HUB_OFFLINE=1
export TRANSFORMERS_OFFLINE=1
export HF_HUB_DISABLE_TELEMETRY=1

앞의 두 개는 네트워크 호출 자체를 막아버림. 세 번째는 텔레메트리만 콕 집어서 막는 건데, 에이전트 감지 헤더까지 다 막아줄지는 확실치 않음.

옵션 2: 모델 이름 대신 로컬 경로 사용

이거 대신:

python

model = WhisperModel("base.en")

이렇게 써라:

python

model = WhisperModel("/path/to/local/model/")

디렉토리 경로를 넘기면 faster-whisper(랑 대부분의 HF 기반 라이브러리)는 Hub를 아예 거치지 않음.

옵션 3: 네트워크 수준 차단

난 socket.connect, socket.connect_ex, socket.create_connection, getaddrinfo를 래핑하는 파이썬 수준의 방화벽을 만들었음. sitecustomize 훅을 써서 라이브러리 임포트하기 전에 먼저 실행되게 해놨더니, 라이브러리가 다 로드되기도 전에 '전화 걸기' 시도를 잡아내더라. 허용 목록에 없는 호스트로 연결하려고 하면 바로 ConnectionRefusedError 띄우게 해놨음.

캐시된 파일 내용

자격 증명도 없고, API 키도 없어. 그냥 에이전트 이름이랑 환경 변수 시그니처를 담은 레지스트리일 뿐이야. 파일 자체는 아무런 해가 없지만, 이걸 핑거프린팅(식별) 수단으로 쓴다는 게 문제인 거지.

그냥 지워버려도 아무 문제 없어:

bash

rm ~/.cache/huggingface/.agent_harnesses.json

HF_HUB_OFFLINE=1로 설정해두면 다시 생기지도 않아.

이게 왜 문제냐고?

개인정보 보호하려고 로컬 모델 돌리는 거라면, 너랑 모델 사이의 라이브러리 계층이 네 툴체인에 대한 메타데이터를 허깅페이스로 전송하고 있을지도 모른다는 사실을 알아야 해. 모델 가중치나 네 데이터가 나가는 건 아니지만, 네가 어떤 AI 도구를 언제 쓰는지가 수집돼서 공개 데이터셋으로 만들어진다는 게 핵심이야.

에이전트 레지스트리는 u/huggingface/tasks npm 패키지에서 관리되고 허브 API를 통해 제공돼. 새로운 에이전트들은 PR을 통해 등록되지. 숨겨진 건 아니지만, 그렇다고 pip install로 라이브러리 설치할 때 이런 일이 벌어지고 있다는 걸 아는 사용자가 얼마나 될까?

분명히 말하는데, 이게 악의적이라고 생각하진 않아. 허깅페이스도 아마 비즈니스 인텔리전스 차원에서 에이전트 생태계가 얼마나 쓰이는지 추적하는 거겠지. 하지만 사용자 동의도 없이 개발 도구를 몰래 핑거프린팅하는 건 생태계에 대한 신뢰를 깎아먹는 짓이야. 특히 개인정보 때문에 로컬 모델 쓰는 사람들한테는 더더욱 그렇지.

에이, VM 이미지 하나 다운로드하고 나면 sbx 바이너리를 해킹하거나 바이너리 패치해서 본사로 데이터 보내는 거나 토큰 체크 건너뛰게 만들 수 있음. 그럼 오프라인으로 무기한 실행 가능함.