MS, Copilot가 스스로 털어놓은 결함 'CoSnitch' 패치

보안업체 바로니스 스레트 랩스 연구진이 copilot.microsoft.com에서 제공되는 마이크로소프트의 일반 소비자용 AI 비서 '마이크로소프트 코파일럿'에서 심각한 취약점을 발견했다. 'CoSnitch'로 명명된 이 취약점은 피해자가 링크를 한 번 클릭하기만 해도, 별도의 확인이나 추가 조작 없이 비밀번호를 포함한 사용자 데이터가 유출되도록 만들었다. 바로니스는 2025년 12월 이 취약점을 마이크로소프트에 신고했고, 2026년 2월 부분적인 완화 조치가, 2026년 8월 18일 완전한 수정 패치가 각각 배포됐다. 이 취약점은 CVE-2026-24301로 등록됐으며, 10점 만점에 8.8점의 CVSS 심각도 점수로 '치명적' 등급을 받았다.

프롬프트 인젝션(prompt injection)이란 공격자가 언어모델이 처리하는 콘텐츠—여기서는 URL 매개변수나 웹페이지—안에 지시문을 숨겨, 정당한 사용자가 의도한 지시 대신, 혹은 그에 더해 모델이 그 지시를 실행하도록 만드는 기법을 말한다. CoSnitch의 핵심에는 이 메커니즘의 서로 다른 두 가지 변형이 자리하고 있다.

자신의 결함에 대해 심문당한 AI 비서

이번 발견은 이례적인 방식에서 비롯됐다. 바로니스 연구진은 피해자가 링크를 클릭하는 것 외에 아무것도 하지 않아도 데이터를 빼낼 수 있는 익스플로잇을 만들고자 했다. 코파일럿은 계속 거부했다. 민감한 작업이 실행되려면 키 입력 같은 사용자의 명시적인 조작이 필요하다는 안전장치 때문이었다. 연구진은 전통적인 리버스 엔지니어링 대신, 그 보호장치의 성격 자체를 코파일럿에 직접 물었다. 자동 실행이 왜 불가능한지, 어떤 URL 구조와 딥링크가 관련돼 있는지, 입력창에 이미 텍스트가 채워진 채로 페이지가 로드되면 어떻게 되는지 등이었다. 코파일럿이 거부할 때마다 내부 구조에 관한 새로운 기술적 세부사항이 새어나왔고, 결국 이 비서는 동의 요건을 완전히 우회할 수 있는, 문서화되지 않은 URL 매개변수라는 마이크로소프트의 실질적인 영업비밀을 털어놓고 말았다.

클릭 한 번으로 발동하는 공격 체인

그 매개변수는 '?autorun=1'이었다. 링크를 통해 코파일럿의 대화창을 미리 채우는 데 쓰이던 기존의 '?q=' 매개변수와 결합하면, 페이지가 로드되는 순간 클릭도, 키 입력도, 확인도 없이 삽입된 프롬프트가 실행됐다. 이런 형태로 만든 링크를 이메일이나 메시지로 보내거나 QR코드 뒤에 숨기기만 하면 충분했다. 피해자가 이미 코파일럿에 로그인돼 있는 브라우저에서 그 링크를 열면, 인증된 세션 안에서 프롬프트가 실행되며 연결된 앱과 메모리, 데이터에 접근할 수 있었다—탭을 로드 직후 닫아도 실행은 멈추지 않았다.

• 숨겨진 URL 매개변수('?autorun=1')가 페이지 로드 즉시 사용자 확인 없이 프롬프트를 자동 실행시켰다.
• 삽입된 프롬프트는 받은 편지함과 연결된 앱(Gmail, Google Drive, OneDrive)을 뒤져, 이메일로 전송된 비밀번호를 포함한 민감한 데이터를 추출할 수 있었다.
• 탈취한 정보는 base64로 인코딩된 뒤, 코파일럿에 내장된 URL 가져오기 기능을 통해 공격자가 관리하는 서버로 전송됐다.
• 별도의 변형은 함정이 설치된 웹페이지를 통해 비서의 영구 기억 저장소를 오염시켰다. 코파일럿이 그 페이지를 요약하면 악성 지시가 주입됐고, 이는 비밀번호 변경이나 세션 해지, 기기 재등록을 거쳐도 그대로 남아 있었다.

8월 18일 패치, 그리고 이어진 코파일럿 취약점들

마이크로소프트는 먼저 2026년 2월, '?q=' 매개변수가 대화창에 텍스트를 직접 주입하지 못하도록 막는 완화 조치를 시행했다. 이로 인해 사용자는 직접 클릭하고 입력해야 했으며, 이 매개변수를 원래 의도대로 사용하던 일부 서드파티 브라우저 통합 기능이 작동하지 않게 됐다. 보다 포괄적인 수정은 바로니스의 최초 신고로부터 약 8개월 뒤인 2026년 8월 18일에 이뤄졌다. 이 보안업체에 따르면 수정 전까지 CoSnitch가 실제로 악용된 사례는 확인되지 않았다. 마이크로소프트는 연구진에게 감사를 표하며, 고객들은 별도 조치 없이도 보호받고 있다고 밝히고 '유사한 기법에 대한 방어를 강화하기 위해 가드레일을 지속적으로 업데이트하고 있다'고 덧붙였다. CoSnitch는 최근 몇 달간 코파일럿을 강타한 일련의 취약점 중 가장 최근 사례다. 2025년 6월 'EchoLeak'은 이미 이 비서에 대한 제로클릭 공격 가능성을 보여줬고, 2026년 1월 'Reprompt'는 매개변수를 프롬프트로 바꾸는 비슷한 메커니즘을 악용해 대화 기록을 빼냈으며, 2026년 6월 CVE-2026-42824로 등록된 'SearchLeak'은 매개변수 인젝션과 보안 정책 우회를 결합해 기업용 버전을 노렸다. 마이크로소프트는 CoSnitch가 일반 소비자용인 '코파일럿 퍼스널'에만 영향을 미치며, 기업용인 '마이크로소프트 365 코파일럿'은 영향을 받지 않는다고 밝혔다—다만 바로니스는 업무 데이터와 연결된 개인 계정이 실질적인 노출 범위를 넓힐 수 있다고 경고했다.

코파일럿을 사내에서 사용하는 한국 기업들에게 이번 CoSnitch 사건은—마이크로소프트가 공식적으로는 소비자용 버전에 국한된다고 밝혔더라도—구체적인 경고가 된다. 이메일과 파일, 사내 도구에 연결된 AI 비서는 자신이 서비스하는 계정의 모든 권한을 그대로 물려받으며, 그 안전장치의 결함은 곧바로 기업 데이터 접근권의 결함이 된다. IT 부서는 운영체제 업데이트만큼이나 철저하게 AI 비서의 보안 패치를 적용하고, 이런 비서에 부여하는 앱과 커넥터의 수를 제한하며, 이메일이나 메시지로 도착하는 링크—익숙한 마이크로소프트 도구를 가장한 것까지 포함해—를 경계하도록 직원들을 교육해야 한다. 오염된 기억이 비밀번호 변경 이후에도 남아 있었다는 사실은, AI 비서와 관련된 사고가 통상적인 대응 조치만으로 항상 마무리되지는 않는다는 점도 일깨워준다.