CERT/CC는 9월 1일 취약점 नोट VU#456290을 공개하며 Hugging Face Transformers의 CVE-2026-80047을 다뤘습니다. 해당 नोट 자체의 표현에 따르면, 이 라이브러리는 trust_remote_code 동의 프롬프트를 평가하기 전에 원격 모듈을 가져오고 로컬 캐시에 쓰며, 이는 다른 동적 모듈 로딩 경로 전반에 적용되는 보안 계약을 위반합니다.
순서가 뒤집히는 지점
영향을 받는 경로는 load_custom_generate()로, 모델 저장소의 custom_generate/generate.py에 대해 get_cached_module_file()을 호출합니다. 이 헬퍼는 해당 파일을 로컬 HF_MODULES_CACHE로 복사합니다. 그 뒤에야 resolve_trust_remote_code()가 호출됩니다. 다른 모든 로딩 경로인 AutoConfig, AutoModel, AutoTokenizer는 디스크에 손대기 전에 먼저 묻습니다.
통상적 프레임이 놓치는 점
이 사안은 Transformers의 원격 코드 실행으로 정리될 것이며, NVD의 요약도 “원격 Python 파일”로 시작해 이를 부추깁니다. 그러나 이것만으로는 RCE가 아닙니다. 신뢰 프롬프트에서 거부해도, 동의 호출 뒤에 get_class_in_module()이 실행되므로 실행은 멈춥니다. 사용자가 거부할 수 없는 것은 파일이 캐시에 들어오는 것 자체이며, 나중의 신뢰된 로드가 그것과 충돌할 수 있습니다. 영향은 사용자가 아니라고 말한 세션을 넘어 남는 원치 않는 쓰기입니다.
버전 범위는 반대 방향을 가리킵니다
권고문은 영향을 받는 범위를 4.49.0부터 5.8.1까지로 제시하고 있으며, GitHub 기록의 vulnerabilities 배열은 비어 있어 패치된 버전이 명시되지 않았습니다. 그 상한을 “더 최신 버전은 안전하다”는 뜻으로 읽는 것이 함정입니다. v5.16.1에서도 동의 전에 가져오는 순서는 그대로이며, 이 버전은 8월 26일에 공개돼 해당 범위 상단을 8개의 마이너 릴리스나 지난 상태입니다. 이 범위는 버그가 끝나는 지점이 아니라 테스트가 멈춘 지점을 기록합니다.
4주가 지나도 공급업체 성명은 없습니다
CERT/CC 기록에 따르면 Hugging Face에는 8월 4일 통지가 이뤄졌고, 9월 1일 공개 시점의 공급업체 상태는 Unknown이며 “공급업체로부터 성명을 받지 못했다”는 문구가 붙어 있습니다. 점수도 공개되지 않았습니다. GitHub도 CERT/CC도 CVSS를 할당하지 않았습니다. 통지와 공개 사이 28일의 공백에 공급업체 응답이 없었다는 점은 기술적 이야기 옆에 놓인 공개 이야기입니다.