AI 에이전트에게 일을 맡길 때 생기는 사고, 프롬프트 인젝션 정리

브라우저에게 "이 페이지 요약해 줘"라고 했을 뿐인데 내 메일 주소가 모르는 서버로 넘어갔다면 어떨까. 가정이 아니라 보안 연구팀이 실제로 재현해 보인 장면이다.

 

AI 브라우저를 다루는 글을 쓰면서 가장 마음에 걸렸던 부분이 보안이었다. 편리한 건 분명하다. 자료를 읽다가 바로 요약을 시키고, 여러 탭을 비교하게 하고, 양식까지 채우게 할 수 있다. 그런데 그 편리함의 근거가 되는 구조가 그대로 위험의 통로가 된다.

 

기존 브라우저는 웹페이지를 화면에 그려 줄 뿐이다. 페이지에 적힌 문장을 읽고 따르지는 않는다. AI 브라우저는 다르다. 페이지의 내용을 읽고 이해해서 행동한다. 문제는 그 AI가 사용자의 명령과 웹페이지에 적힌 문장을 같은 무게로 처리한다는 점이다. 누군가 페이지에 명령문을 숨겨 두면 AI는 그것도 지시로 받아들인다.

 

이걸 간접 프롬프트 인젝션이라고 부른다. 올해 들어 관련 보고가 계속 나왔고, 지적한 쪽이 경쟁 브라우저 회사만도 아니다. 대학 연구팀과 여러 보안 업체가 같은 결론에 도달했다. 특정 제품의 버그가 아니라 AI 브라우저라는 범주 전체의 구조적 문제라는 것이다.

 

개인적으로는 이 기술을 쓰지 말자는 쪽이 아니다. 다만 무엇이 위험한지 모르고 쓰는 것과 알고 쓰는 것은 결과가 다르다고 본다. 이 글은 실제 보고된 사례를 정리하고, 지금 당장 적용할 수 있는 사용 수칙을 다룬다. 

 

 

숨겨진 명령이 담긴 화면

 

 

요약 한 번에 벌어진 일

핵심 요약 │ 클릭 한 번 없이 계정 정보가 빠져나갔다.

 

 

Brave 보안팀이 2025년 8월에 공개한 시연이 가장 널리 알려져 있다. 연구팀은 커뮤니티 게시글의 가려진 영역에 명령문을 심어 두었다. 사람이 읽을 때는 보이지 않는 자리다.

 

피해자가 그 페이지를 열고 "이 글 요약해 줘"라고 요청하자 브라우저는 숨어 있던 명령을 따랐다. 계정 설정 페이지로 이동해 이메일 주소를 꺼내고, 인증 코드 메일을 발송시킨 뒤, 메일함을 열어 코드를 읽고, 두 값을 공격자가 볼 수 있는 곳에 올렸다.

 

사용자는 요약을 요청했을 뿐이다. 추가로 누른 것은 없다.

 

 

왜 막기 어려운가

핵심 요약 │ 사용자 권한을 그대로 들고 움직이기 때문이다.

 

 

두 가지가 겹친다.

첫째, AI는 사용자가 입력한 명령과 웹페이지에서 읽은 문장을 구분하지 못한다. 둘 다 그냥 텍스트다. 기존 브라우저에는 출처가 다른 자료를 서로 격리하는 규칙이 있지만, AI는 그 경계를 넘나든다.

 

둘째, 에이전트는 사용자의 로그인 상태를 그대로 쓴다. 메일에 로그인돼 있으면 메일을 읽을 수 있고, 계정 설정에 접근할 수 있으면 설정도 바꿀 수 있다. 공격자가 명령을 끼워 넣는 데 성공하면 사용자가 가진 권한을 통째로 빌려 쓰는 셈이 된다.

 

그래서 패치 하나로 끝나지 않는다. Brave는 제조사가 수정한 뒤 여러 차례 다시 검증했는데 완전히 막히지 않았다고 밝혔다. OpenAI 쪽에서도 이 문제가 완전히 닫히지 않을 수 있다는 취지의 언급이 나왔다.

 

 

눈에 안 보이는 글자

 

 

명령이 숨는 자리

핵심 요약 │ 글자만이 아니라 이미지와 주소에도 숨는다.

 

 

보고된 경로를 정리하면 이렇다.

• 페이지 안의 보이지 않는 글자. 아주 작은 크기, 배경과 같은 색, 접힌 영역에 숨긴다.
• 이미지 속 글자. 사람 눈에는 거의 안 보이는 연한 색으로 적어 두면 AI가 화면을 읽을 때 인식한다.
• 주소에 끼워 넣은 명령. 링크를 누르는 순간 작동한다.
• 일정 초대. 받은 초대 내용에 명령을 넣어 둔 사례도 보고됐다.

공통점은 사용자가 눈으로 확인할 방법이 없다는 것이다. 수상한 페이지를 피하라는 조언이 잘 통하지 않는 이유다.

 

 

지금 적용할 수칙

핵심 요약 │ 권한을 줄이면 피해 범위도 줄어든다.

 

 

완전히 막을 방법이 없다면 피해를 줄이는 쪽으로 간다. 순서대로 적으면 이렇다.

 

1. 로그인 상태를 분리한다. AI 브라우저로는 민감한 계정에 로그인하지 않는다. 메일, 은행, 사내 시스템은 평소 쓰던 브라우저에 둔다. 리서치 전용 프로필을 따로 만들어 쓰는 방법도 있다.

 

2. 연결 서비스를 최소화한다. 메일이나 캘린더를 연결하면 편하지만 그만큼 노출 범위가 넓어진다. 꼭 필요한 것만 연결하고 쓰지 않는 연결은 해제한다.

 

3. 확인 단계를 끄지 않는다. 브라우저를 직접 조작하는 요청이면 먼저 물어보는 설정이 들어 있다. 귀찮다고 꺼 두면 마지막 방어선이 사라진다.

 

4. 출처를 모르는 링크는 에이전트로 열지 않는다. 주소에 명령을 심는 방식이 보고된 이상, 받은 링크를 AI 브라우저에서 바로 여는 습관은 위험하다.

 

5. 실행 결과를 확인한다. 작업 단계를 보여 주는 기능이 있다면 한 번씩 열어 본다. 요청하지 않은 페이지로 이동한 기록이 있으면 그 시점을 의심한다.

 

6. 회사 기기에서는 정책을 먼저 확인한다. 사내 시스템에 로그인된 상태로 돌아가는 도구다. 보안 담당자에게 묻지 않고 설치하면 곤란해질 수 있다.

 

 

분리된 브라우저 프로필

 

 

맡겨도 되는 범위

핵심 요약 │ 로그인이 필요 없는 일부터 맡긴다.

 

 

기준을 하나로 정리하면 로그인 여부다.

공개된 페이지에서 정보를 모으고 비교하고 정리하는 일은 비교적 안전하다. 로그인 상태가 개입하지 않으니 빠져나갈 것도 적다.

 

반대로 로그인이 필요한 서비스 안에서 뭔가를 하도록 맡기는 일은 다시 생각한다. 메일 정리, 계정 설정 변경, 결제, 사내 문서 접근이 여기 해당한다. 편한 만큼 위험도 그쪽에 몰려 있다.

 

 

그래도 쓸 것인가

핵심 요약 │ 쓰되 들고 있는 권한을 줄인다.

 

 

보안 쪽에서는 당분간 쓰지 말라는 의견도 나온다. 특히 기업 환경에서는 그 조언이 타당하다고 본다.

 

다만 개인이 공개 자료를 리서치하는 용도라면 이야기가 다르다. 위험을 알고 권한을 줄여 쓰는 선택이 가능하다. 중요한 건 "안전한 도구인가"가 아니라 "이 작업에 내 계정 권한이 필요한가"를 매번 묻는 습관이다.

 

기술이 성숙하기를 기다리는 것도 방법이다. 지금은 제조사들도 해결책을 찾는 중이고, 몇 달 단위로 상황이 바뀐다.

 

 

연결 해제된 서비스 목록 

 

 

마치는 글과 실행 순서

정리하다 보니 생각이 조금 바뀌었다. 처음에는 설정 몇 개 손보면 될 문제로 봤는데, 구조에서 나오는 위험이라 그렇지 않았다. 그렇다고 손을 놓을 일도 아니다. 권한을 줄이는 것만으로 피해 범위가 크게 달라진다. 지금 챙겨 둘 것만 추리면 이렇다.

• AI 브라우저에서 민감한 계정을 모두 로그아웃한다.
• 연결해 둔 메일이나 캘린더가 있다면 필요한 것만 남긴다.
• 실행 전 확인 설정이 켜져 있는지 본다.

세 가지는 5분이면 끝난다. 그다음부터는 로그인이 필요 없는 작업만 맡기면서 범위를 늘려 가면 된다.

 

 

함께 읽을 글

• 노코드 자동화 보안 점검: API 키 관리와 권한 범위 설정
• 비밀번호 관리자로 로그인 시간 줄이기, 기본 기능만으로 시작하기
• 무엇을 자동화할지 고르는 기준: 반복 횟수와 시간으로 계산하기

AI 브라우저를 쓰면서 이상한 동작을 겪은 적이 있으신지 댓글로 알려 주세요. 사례가 쌓이면 서로 조심할 지점을 알 수 있습니다. 공유도 부탁드립니다.

 

 

검증 출처

• PyTorchKR – Comet 프롬프트 인젝션 취약점 분석
• GeekNews – 스크린샷에 숨긴 명령과 구조적 원인
• GeekNews – AI 브라우저 프롬프트 인젝션 논의
• The Hacker News – 공격이 실행되는 과정
• LayerX – 주소를 이용한 세션 탈취 시연
• Decryption Digest – 공개와 수정 경과 정리
• WebProNews – 대학 연구와 기업 환경 위험
• IT Cares – 위험을 줄이는 실무 수칙
• Supercharge Browser – 공개된 취약점 요약
• innFactory – 기업 환경에서의 판단 근거
• 위키백과 – Comet 브라우저와 보안 보고
• Perplexity 고객센터 – 설정과 프로필 분리

 

 

#프롬프트인젝션 #AI브라우저보안 #Comet #AI에이전트 #보안취약점 #업무자동화 #정보보안 #세션탈취 #계정보안 #생산성도구 #업무효율화 #AI리스크 #직장인꿀팁 #웹보안 #간접공격