엔비디아가 클라우드 개발 플랫폼 Brev에서 발생한 보안 침해를 조사하고 있다. 조사 결과 고객 가상 머신에 접근할 때 쓰이는 SSH 키가 노출됐을 가능성이 확인됐다. Brev나 다른 엔비디아 클라우드 도구로 워크로드를 운영 중인 이용자라면 자신의 접근 자격 증명이 영향을 받았는지 확인해볼 필요가 있다.
무슨 일이 있었나
Tom's Hardware 보도에 따르면 엔비디아는 2025년 10월 4일부터 10월 20일까지, 총 16일에 걸쳐 Brev 플랫폼에서 비인가 활동을 포착했다. Brev는 개발자들이 GPU 워크로드용 가상 머신을 프로비저닝하고 관리할 수 있도록 지원하는 엔비디아의 클라우드 개발 서비스다. 조사 결과 고객 가상 머신 접근에 쓰이는 SSH 키가 이 기간 동안 노출됐을 가능성이 있는 것으로 나타났다. 해당 매체에 따르면 엔비디아는 예방 차원에서 영향을 받은 키를 교체하고 고객 인스턴스를 업데이트했다. 회사 측은 노출된 키가 실제로 악용된 증거는 발견하지 못했다고 밝혔다. 다만 보도에서는 고객명, 금전적 피해 규모, 영향을 받은 가상 머신 수 등 구체적인 수치는 공개되지 않았다.
어쩌다 이렇게 됐나
AI 컴퓨팅 수요가 커지면서 엔비디아는 GPU 하드웨어와 Brev 같은 개발자 플랫폼을 결합해 클라우드 사업을 빠르게 확장해왔다. Brev는 개발자들이 GPU 워크로드를 위한 가상 머신을 손쉽게 구성하고 관리하도록 돕는 서비스다. SSH 키는 클라우드 서버에 안전하게 원격 접속하기 위한 표준 수단으로, 키가 유출되면 추가 인증 없이도 시스템에 직접 침투할 수 있어 제공업체들이 이런 노출 사고를 특히 심각하게 다룬다. AI 인프라 제공업체들이 보안 검토 체계가 충분히 성숙하기도 전에 서비스를 빠르게 확장하면서, 클라우드 자격 증명 유출 사고는 점점 더 흔해지고 있다.
왜 중요한가
Brev 고객이라면 우선 교체된 키가 자신의 인스턴스에 실제로 반영됐는지 확인해야 한다. 16일간의 노출 기간 동안 가상 머신 접근 기록에 이상 징후가 없었는지도 점검할 필요가 있다. 엔비디아 클라우드 인프라에서 AI 작업을 돌리는 개발자라면 가능하면 고정된 SSH 키 대신 수명이 짧은 임시 자격 증명을 활용하는 편이 안전하다. 이번 사건은 하나의 공유 자격 증명 체계가 서로 무관한 여러 워크로드에 동시에 영향을 미칠 수 있음을 보여준다. 중앙화된 GPU 컴퓨팅 자원을 빌려 쓰는 크립토·웹3 프로젝트 입장에서는 이번 사태가 더 넓은 집중 리스크를 드러낸 셈이다. 클라우드 GPU 렌더링에 의존하는 AR·스마트 글래스 소프트웨어 개발팀 역시 배포 전에 벤더의 보안 수준을 꼼꼼히 따져볼 필요가 있다.
더 큰 질문
AI 인프라가 보안 검토 주기보다 빠르게 확장되는 상황에서, 클라우드 제공업체와 고객 각각이 감수해야 할 자격 증명 리스크의 몫은 어느 정도여야 할까. Brev 사건은 실제 악용 사례가 확인되지 않았다는 점에서는 다행이지만, 노출 기간이 탐지되기까지 16일이나 걸렸다는 점은 더 근본적인 질문을 던진다. 방대하게 뻗어나가는 클라우드 시스템 전반에서 비인가 접근을 얼마나 빨리 찾아낼 수 있을까. 이런 시스템은 이제 AI뿐 아니라 크립토, 그리고 스마트 글래스 같은 신생 하드웨어 산업까지 떠받치고 있다.
앞으로 지켜볼 점
엔비디아는 아직 최종 사고 보고서 공개 일정을 발표하지 않았다. Brev 고객들은 영향을 받은 모든 인스턴스에서 키 교체가 완전히 끝났음을 확인하는 엔비디아의 공식 공지를 주시해야 한다. AR, 스마트 글래스, 크립토 인프라와 관련된 GPU 워크로드를 운영하는 이들이라면 엔비디아 측 업데이트를 직접 챙겨볼 필요가 있다. 추가 공개 일정은 아직 나오지 않았다. Bonuz는 엔비디아의 클라우드 보안 검토가 이어지는 동안 공식 후속 발표를 계속 추적할 예정이다.
