AI 비서의 ‘몸’과 ‘뇌’ 사이 신뢰 관계를 가로챈 공격 방식
다섯 제품 가운데 피해 범위가 가장 넓었던 퍼플렉시티 코멧
확장 프로그램 설치가 전제, 실제 악용은 확인되지 않은 상태

브라우저 확장 프로그램 하나만 깔려 있으면 브라우저에 붙어 있는 AI 비서를 공격자가 대신 부릴 수 있다는 연구 결과가 나왔다.

[출처: gettyimagesbank]

보안기업 포에버시큐리티(Forever Security) 연구진은 AI 제품 다섯 개에서 이 공격이 통한다는 사실을 시연을 통해 공개했다. 다섯개의 AI는 △크롬 제미나이 라이브 △퍼플렉시티 코멧(Perplexity Comet) △마이크로소프트 엣지 △오페라 네온(Opera Neon) △크롬용 클로드 확장 프로그램이다.

확장 프로그램이 요구하는 권한은 두 가지뿐이다. 웹페이지를 고쳐 쓰는 권한과 ‘declarativeNetRequest’라는 네트워크 통신 조작 권한이다. 웹페이지 고쳐쓰기 권한은 광고 차단기가 흔히 쓰는 권한이다. 연구진은 이 두 권한으로 신뢰받는 제조사 페이지에 코드를 밀어 넣고 AI 에이전트에 명령을 내렸다.

AI 비서는 둘로 나뉘어 있다. 브라우저 안에서 화면을 보고 파일을 읽고 카메라를 쓰고 실제 동작을 하는 ‘몸’과 회사 서버에 있는 ‘뇌’다. 몸은 보통 신뢰하는 페이지 한 곳에서 오는 지시만 받는다. 연구진은 바로 그 페이지를 오염시켜 공격자의 명령을 대신 전달하게 만들었다.

크롬에서는 파일 읽기와 카메라·마이크 접근, 데이터 유출이 가능했다. 이 취약점(CVE-2026-0628)은 1월 크롬 143 버전에서 고쳐졌다. 엣지 쪽 취약점(CVE-2026-55945)은 7월 2일 패치됐다.

코멧과 오페라 네온, 크롬용 클로드 확장 프로그램에는 CVE 번호가 붙지 않았다. 공식 추적 번호가 없는 건까지 더해 연구진이 다섯 제품을 통틀어 받은 버그 바운티는 2만달러가량이다.

피해 범위는 코멧이 가장 넓었다. 브라우저 전체가 AI로 돌아가는 구조여서 탈취된 에이전트가 파일 읽기와 방문 기록 열람은 물론 이용자 행세까지 할 수 있었다. 코멧의 보호 장치가 옛 시험용 도메인에는 적용되지 않은 탓이다.

반대로 크롬용 클로드 확장 프로그램은 가장 가벼운 축이었다. 브라우저 자체를 장악한 것이 아니라 확장 프로그램이 다른 확장 프로그램을 악용한 경우여서다.

실제 공격에 쓰인 흔적은 아직 나오지 않았다. 두 취약점 모두 미국 사이버보안·인프라보안국(CISA)이 관리하는 악용 취약점 목록에는 올라 있지 않다. 이 공격은 모두 이용자가 문제의 확장 프로그램을 먼저 깔아야 가능하다.

출처 : 보안뉴스(https://www.boannews.com)