마이크로소프트가 코드 오류로 인해 Copilot Chat이 기밀 이메일에 접근해 요약할 수 있었던 사실을 공식 인정했습니다.
Bleeping Computer의 보도에 따르면, 이번 결함은 데이터 유출 방지(DLP, Data Loss Prevention) 정책을 우회하는 방식으로 작동했습니다. DLP는 자사 데이터를 마이크로소프트 AI로부터 보호하고자 하는 고객들이 활성화하는 보안 기능입니다. 해당 문제는 1월 21일 처음 제보되었으며, 9월부터 Word, Excel, PowerPoint, Outlook, OneNote를 통해 Microsoft 365 비즈니스 사용자에게 단계적으로 배포된 Copilot Chat의 'Work' 탭에 영향을 미치는 것으로 확인됐습니다.
마이크로소프트는 문제의 원인을 Copilot 내부의 코딩 버그로 추적했습니다. 회사 관계자는 BleepingComputer에 "코드상의 문제로 인해 기밀 라벨이 설정되어 있음에도 불구하고, 보낸 편지함과 임시 보관 폴더의 항목이 Copilot에 의해 수집될 수 있는 상황"이라고 설명했습니다.
사용자는 파일이나 이메일을 민감 정보로 직접 표시하거나, Microsoft 365가 자동으로 분류하도록 설정할 수 있습니다. 라벨이 적용되면 마이크로소프트는 해당 데이터가 '조직의 정보 보호 정책을 준수하도록' 관리해야 합니다.
수정 진행 상황과 영향 범위
진행 중인 문제에 대한 수정 작업은 이번 달 초부터 배포되기 시작했지만, 완전히 해결될 시점은 아직 명확하지 않습니다. 마이크로소프트는 현재 수정 사항을 모니터링하면서 영향을 받은 사용자들에게 직접 연락해 정상 작동 여부를 확인하고 있는 것으로 전해졌습니다.
이번 버그의 영향을 받은 조직의 정확한 규모는 밝혀지지 않았으나, 영국 국민보건서비스(NHS)도 피해 조직에 포함된 것으로 알려졌습니다.
AI 기능 통합, 순탄치 않은 마이크로소프트
마이크로소프트의 제품에 AI 기능을 통합하는 과정은 한 번도 순조롭지 않았습니다. Windows Recall과 Copilot Vision 같은 기능들은 프라이버시 논란을 일으켰고, 최근에는 Windows 11 앱 전반에서 Copilot 기능을 축소할 계획이라는 보도도 나왔습니다.
이번 Copilot Chat의 기밀 정보 노출 사건은 기업 환경에서 AI 도구와 데이터 보안 정책의 충돌이 얼마나 심각한 결과를 낳을 수 있는지를 보여주는 대표적인 사례로 평가됩니다. 기업들은 AI 도구 도입 시 DLP 및 감사 라벨링 정책이 실제로 작동하는지 지속적으로 점검할 필요가 있습니다.