BragJack, 악성 확장 프로그램 하나가 AI 브라우저 에이전트를 유도하는 방식

Forever Security의 보안 연구원 Gal Weizman이 진행한 연구 프로젝트 BragJack은 익숙한 조건에서 시작되는 브라우저 에이전트 위험을 보여준다. 먼저 악성 확장 프로그램이 설치돼 있어야 한다는 조건이다. 설치 이후 달라지는 것은 영향 범위다. 시연에서는 Chrome이나 다른 지원 브라우저 환경에 확장 프로그램 하나가 존재하면 여러 AI 브라우징 에이전트를 유도할 수 있고, 일부 경우에는 사용자의 추가 클릭 없이 동작을 촉발할 수 있음을 보였다.

챗봇 프롬프트에서 브라우저 제어로

이 연구는 Chrome의 Gemini Live, Perplexity Comet, Microsoft Edge, Opera Neon, Chrome의 Claude를 대상으로 시연됐다. 이 목록이 중요한 이유는 해당 문제가 한 보조 도구의 단일 결함으로 제시되지 않기 때문이다. 이는 AI 브라우징 에이전트, 브라우저 표면, 확장 프로그램 메커니즘이 만나는 하나의 패턴이다. 브라우저는 공유 환경이 되고, 확장 프로그램은 공격자가 에이전트가 보는 것 또는 수행하는 것에 영향을 미칠 수 있는 위치가 된다.

이 구분은 분석의 핵심이다. 일반적인 프롬프트 인젝션은 대개 페이지 콘텐츠처럼 모델이 읽는 곳에 악성 지시문을 배치하는 방식에 의존한다. BragJack은 Prompt Forcing이라는 기법을 사용하며, 연구는 이를 일반적인 프롬프트 인젝션과 구분한다. 핵심은 텍스트 안에 지시문을 숨기는 것만이 아니라, AI 에이전트가 통제된 환경을 거치도록 브라우저 수준의 조작을 이용하는 데 있다.

연구에서 설명한 기술적 메커니즘에는 선언적 네트워크 요청 규칙이 포함된다. 이 규칙은 보안 헤더나 리디렉션을 수정하는 데 사용될 수 있다. 실제로 이는 AI 에이전트가 결과 페이지나 작업 흐름을 해석하기 전에 확장 프로그램이 브라우저 트래픽과 브라우저 보호 기능의 동작 방식을 바꿀 수 있음을 뜻한다. 그 결과 에이전트는 악성 확장 프로그램에 의해 이미 형성된 페이지 상태를 바탕으로 행동할 수 있다.

시연이 보여준 것

시연된 영향에는 로컬 파일과 기록 읽기, 스크린샷 캡처, 카메라나 마이크에 잠재적으로 접근하는 경우가 포함됐다. 이는 민감도가 높은 브라우저 및 기기 표면이며, 이러한 항목이 시연에 포함됐다는 점은 이 연구가 이론적인 프롬프트 조작 사례를 넘어서는 이유를 설명한다. 문제는 악성 확장 프로그램이 접근, 맥락 또는 흐름에 대한 전제를 바꿀 수 있는 환경에서 AI 브라우저 에이전트가 작동한다는 데 있다.

Perplexity Comet 시연 중 하나는 이메일을 요약하는 동안 정보를 외부로 유출했다. 이 시나리오는 일상적인 AI 작업과 브라우저 수준의 간섭이 결합될 때의 실제 위험을 보여준다. 사용자에게 보이는 목적은 단순하다. 에이전트에게 이메일 요약을 요청하는 것이다. 그러나 숨은 결과는 다르다. 정보가 예상된 맥락을 벗어난다. 제공된 사실은 실제 배포 환경에서 이것이 얼마나 넓게 발생할 수 있는지 수치화하지 않지만, 시연은 명시된 조건에서 이 공격 유형이 실행 가능하다는 점을 보여준다.

Microsoft Edge의 Think-and-Do 사례는 경쟁 조건을 악용했다. 이 세부 사항은 연구에 또 다른 차원을 더한다. 동작이 정적인 콘텐츠 조작에만 국한되지 않는다는 점을 보여주기 때문이다. AI 브라우징 에이전트가 브라우저 작업 흐름을 통해 행동할 때는 타이밍과 실행 순서가 중요할 수 있다. 이런 경우 공격 표면에는 에이전트가 무엇을 읽는지만이 아니라 브라우저와 에이전트가 특정 단계를 언제 수행하는지도 포함된다.

보고에 따르면 일부 동작은 악성 확장 프로그램이 설치된 뒤 추가 클릭 없이 발생할 수 있다. 이는 초기 설치 요구사항을 없애지 않는다. 초기 설치는 여전히 핵심 제약 조건이다. 그러나 침해 이후의 사용자 상호작용 모델은 달라진다. 사용자는 반복적으로 동작을 승인해야 위험이 생긴다고 생각할 수 있지만, 연구는 설치된 확장 프로그램이 추가 상호작용이 항상 필요하지 않은 조건을 만들 수 있음을 보여준다.

포상금 수치가 증명하는 것

이 연구는 20,000달러가 넘는 포상금을 발생시켰으며, 개별 보상은 600달러에서 7,000달러까지였다. 이 숫자는 보고를 받은 당사자들이 적어도 일부 발견 사항을 자사 프로그램 기준에서 유효하고 보상할 가치가 있는 것으로 취급했음을 증명한다. 또한 이 연구가 하나의 고립된 보고가 아니라, 다양한 금액의 여러 보상을 받을 만큼 의미 있는 일련의 문제였음을 시사한다.

이 수치가 실제 환경에서의 확산 정도, 대규모 사용자 노출, 또는 모든 AI 브라우징 에이전트가 같은 방식으로 영향을 받는다는 점을 증명하지는 않는다. 버그 바운티 금액은 악용 빈도의 측정값이 아니다. 또한 모든 공급업체와 맥락에 걸친 표준화된 심각도 척도도 아니다. 600달러 보상과 7,000달러 보상은 프로그램 규칙, 영향 평가, 재현 세부 사항, 공급업체 범위 등을 반영할 수 있으며, 이를 하나의 위험 점수로 축약해서는 안 된다.

이 연구에는 CVE-2026-0628과 CVE-2026-55945가 포함된다. CVE 부여가 중요한 이유는 특정 보고 이슈에 식별자를 제공해 더 넓은 BragJack 개념과 별도로 추적할 수 있게 하기 때문이다. 그러나 CVE 부여 자체가 시연에서 언급된 모든 에이전트에 동일한 취약점이 존재한다는 뜻은 아니다. 더 강한 결론은 더 좁다. 확장 프로그램 기반 브라우저 에이전트 악용에 대한 더 넓은 조사 과정에서 특정 문제가 식별되고, 보고되고, 목록화됐다는 것이다.

수정 사항과 실제적 함의

Google과 Microsoft는 보고된 문제를 수정했다. 이는 연구 주장과 공급업체 대응을 구분하는 중요한 지점이다. 수정은 보고된 문제에 적용되는 것이지, 확장 프로그램 기반 Prompt Forcing 시나리오의 모든 가능성에 반드시 적용되는 것은 아니다. 여기서 제공된 사실은 이름이 언급된 모든 제품의 수정 사항을 설명하지 않으며, 더 넓은 유형이 제거됐다고도 말하지 않는다. 실제적 함의는 브라우저 에이전트 보안을 모델 정렬 문제로만 다룰 수 없다는 것이다.

사용자와 조직에 가장 직접적인 교훈은 설치된 확장 프로그램에 관한 것이다. BragJack은 악성 확장 프로그램이 설치돼 있어야 하므로, 초기 신뢰 결정은 여전히 중요하다. 그러나 일단 이 조건이 충족되면 에이전트는 공격자가 영향을 줄 수 있는 브라우저 맥락 안에서 작동할 수 있다. 이는 위험 계산을 바꾼다. 확장 프로그램은 단순히 브라우저 인터페이스에 붙는 부가 기능이 아니라, AI 지원 브라우징 동작의 제어 지점이 될 수 있다.

개발자와 플랫폼 팀에게 이 연구는 확장 프로그램 기능, 브라우저 보안 헤더, 리디렉션, 에이전트 자율성 사이의 경계를 가리킨다. AI 브라우징 에이전트는 웹 콘텐츠를 읽고, 요약하고, 그 전반에서 행동하도록 설계돼 있다. 그러나 BragJack은 에이전트가 응답하기 전에 웹 콘텐츠와 브라우저 상태가 확장 프로그램에 의해 능동적으로 형성될 수 있음을 보여준다. 따라서 보안 설계는 사용자가 요청한 것, 에이전트가 추론한 것, 브라우저 환경이 조작돼 제시한 것을 분리해야 한다.

BragJack이 강조하는 주요 변화는 브라우저 확장 프로그램이 악성일 수 있다는 사실 자체가 아니다. 그 전제는 공격 요구사항에 이미 포함돼 있다. 변화는 AI 브라우징 에이전트가 브라우저 수준 조작에 새로운 결과 경로를 제공한다는 점이다. 설치된 확장 프로그램 하나가 여러 에이전트에 영향을 줄 수 있으며, 시연은 데이터 접근부터 작업 흐름 악용에 이르는 효과를 보여준다. 이 연구가 보편적 침해를 증명하지는 않지만, 확장 프로그램 신뢰, 브라우저 중재, AI 에이전트 동작을 함께 평가해야 하는 이유는 보여준다.