사이버 보안을 이야기할 때 우리는 보통 해커가 사람을 교묘하게 속이는 장면을 떠올립니다. 하지만 클릭하는 주체가 인간이 아니라 AI라면 어떻게 될까요?
ChatGPT Atlas, Opera Neon, Perplexity Comet, The Browser Company의 Dia 같은 최신 AI 브라우저들은 사용자를 대신해 웹서핑을 해주겠다고 약속합니다. 웹사이트를 읽고, 링크를 따라가고, 양식을 작성하고, 심지어 구매까지 처리할 수 있죠. 미래를 엿보게 하는 인상적인 기술입니다. 그런데 한 가지 간과된 사실이 있습니다. 인간조차 늘 사기에 넘어지는데, 이 자동화된 AI 에이전트들이 같은 함정에 빠지지 않으리란 법이 있을까요?
AI 브라우저와 에이전트가 사기에 빠지는 방식
AI 브라우저의 보안 성적표, 전반적으로 처참합니다
OpenAI의 Atlas 브라우저는 오랜 기다림 끝에 큰 화제 속에 출시됐습니다. 하지만 출시되자마자 연구자들은 OpenAI가 보안을 얼마나 진지하게 받아들이는지 확인하기 위해 브라우저를 집요하게 파헤치기 시작했죠.
결과는 만족스럽지 못했습니다. 보안 회사 LayerX는 Atlas 출시 며칠 만에 두 가지 중대한 문제를 발견했습니다.
첫 번째 취약점은 프롬프트 인젝션(prompt injection)과 관련된 것으로, ChatGPT의 메모리 기능에 악성 명령어를 삽입할 수 있게 합니다. 삽입된 명령어는 원격 코드 실행까지 가능하게 만드는데, 이는 극도로 위험한 상황입니다. 더 놀라운 사실은 LayerX의 연구에서 Atlas가 마주친 악성 웹페이지 중 단 5.8%만 차단했다는 점입니다. 즉, 90% 이상의 경우 탭을 닫고 건너뛰어야 할 피싱 페이지와 그대로 상호작용해 버린 것입니다.
공정하게 말하자면 문제는 OpenAI의 Atlas만이 아니었습니다. LayerX의 테스트에서 에이전틱 AI 기능을 갖춘 AI 브라우저들은 전반적으로 저조한 성적을 거뒀습니다. 폭발적인 인기를 누린 Perplexity의 Comet AI 브라우저 역시 피싱 페이지 중 7%만 차단했습니다.
반면 Edge, Chrome, Dia는 훨씬 많은 공격을 막아냈습니다. 각각 53%, 47%, 46%의 공격을 차단한 것이죠.
Scamlexity: 클릭하고, 결제하고, 실패하다
보안 연구 회사 Guardio도 비슷한 문제들을 발견했습니다. 다만 이 연구는 ChatGPT Atlas 출시 이전에 진행된 것입니다. 'Scamlexity'라는 이름의 연구에서 Guardio는 "에이전틱 AI 브라우저를 시험에 넣었다 — 클릭했고, 결제했고, 실패했다"고 요약합니다.
연구진은 'PromptFix'라는 공격 기법을 개발했습니다. ClickFix 사기의 AI 시대 버전으로, 가짜 CAPTCHA 화면 안에 프롬프트 인젝션 공격을 숨기는 방식입니다. 가짜 CAPTCHA에 눈에 보이지 않는 텍스트를 심어두면, 자동 브라우징 모드로 동작하는 AI 에이전트는 제품 구매나 파일 다운로드 등의 행동으로 쉽게 속아 넘어갔습니다.
비슷한 실험에서 Perplexity의 Comet 브라우저에게 수신 이메일 처리를 맡긴 뒤 피싱 이메일을 보여주자, 브라우저는 곧바로 작업에 착수해 사용자 정보를 가짜 페이지에 입력했습니다. 심지어 해당 페이지가 안전하다고 단언하면서 사용자에게 로그인 자격 증명 입력까지 요청했습니다.
자동 조종 모드의 AI 브라우저는 나쁜 것도 클릭합니다
인간의 눈에는 보이지도 않는 사기에 취약한 AI 에이전트
근본적인 문제는 AI 브라우저와 에이전틱 AI 브라우징이 우리를 평소의 경계 태세에서 방심하게 만든다는 점입니다. 자동화 시스템에 판단을 맡기는 순간, 사기의 위험을 알려주는 중요한 적신호를 놓칠 수 있습니다. 물론 AI 모델 역시 그런 신호를 제대로 이해하지 못하지요.
현재 이런 공격은 대부분 보안 연구실 안에서 이루어지고 있으며, 실제 환경에서는 아직 드물지만 위험은 분명히 실재하며 빠르게 커지고 있습니다. AI 브라우저는 단순히 사이트를 열람하는 데 그치지 않습니다. 로그인 정보를 다루고, 쿠키를 저장하고, 때로는 연결된 계정에 대한 접근 권한까지 유지합니다. 악용 가능성이 매우 크며, 공격자들이 이미 적극적으로 노리고 있는 영역임은 분명합니다.
일반 사용자 입장에서 더 곤란한 점은, 화면을 아무리 주의 깊게 지켜보고 있어도 사람의 눈으로 감지하기 어려운 사기라는 사실입니다. 은밀한 프롬프트 인젝션 공격은 대개 화면에 보이지 않는 곳에 악성 명령어를 심어두기 때문에, 사기를 당하고 난 후에야 무슨 일이 있었는지 깨닫게 됩니다.
게다가 기존 브라우저라면 수상한 상황에서 경고창과 팝업으로 사용자에게 알려주지만, 자동으로 브라우징하는 AI 에이전트는 이를 그저 넘어가야 할 하나의 과제 정도로 여길 수 있습니다.
유일한 해결책은 인간의 감독
기존 보안 도구로는 부족합니다
현대의 보안 문제에는 현대적인 해결책이 필요합니다. 자동 에이전틱 브라우징을 수행하는 AI 브라우저가 만들어내는 문제에는 새로운 대응 방안이 요구되죠. Google 세이프 브라우징이나 백신 프로그램 같은 기존 방어 체계는 AI가 사용자를 대신해 링크를 클릭하는 상황을 고려해 설계되지 않았습니다. 따라잡고는 있지만, 아직 미개척 영역입니다.
실제로 연구자들이 AI 브라우저와 일반 브라우저를 비교했을 때 차이는 뚜렷했습니다. Google 세이프 브라우징은 이미 알려진 악성 URL은 차단할 수 있습니다. 하지만 사기범들이 "wellsfargo.com" 대신 "wellzfargo-security.com"처럼 새로운 도메인을 만들어내면, AI 에이전트는 결국 클릭해 버렸습니다. 도메인 이름을 의심하지 않고, 페이지가 은행 로그인 화면처럼 생겼다는 사실만 확인한 뒤 성실하게 작업을 계속한 것입니다.
더 심각한 것은, 프롬프트 인젝션 공격은 URL에 전혀 의존하지 않는다는 점입니다. 공격 코드는 정상적인 웹페이지나 PDF 파일 내부에 숨어 있어, 기존의 스캐닝 도구로는 전혀 탐지되지 않습니다.
현재로선 유일하게 확실한 해결책은 인간의 감독(human oversight)입니다. 브라우저의 완전 자동화라는 마법 같은 편의함이 줄어들긴 하지만, 실질적으로는 브라우저가 피싱 사기에 넘어지지 않도록 확인하는 필수적인 절차입니다.
Opera의 Neon 같은 AI 브라우저는 작업 도중 인간의 입력을 요청하며 잠시 멈춥니다. 다음 단계가 괜찮은지, 지금까지 완료된 작업이 만족스러운지 사용자에게 확인하는 것이죠. 바로 이런 작은 인간 개입의 순간들이 에이전틱 AI 브라우저가 사기에 넘어가거나, 멀웨어를 다운로드하거나, 더 심각한 피해를 겪는 것을 막아줄 수 있습니다.
사기꾼들에게 열린 새로운 시대
정복해야 할 완전히 새로운 사기의 영역
AI 브라우저는 사기꾼이 속여야 할 대상의 변화를 의미합니다. 이제 표적은 더 이상 당신이 아니라, 당신을 대신 일하는 에이전트입니다. 그리고 현재 그 에이전트는 지나치게 순진하게 믿어버립니다.
앞서 살펴본 연구 결과들을 보면, 이런 시스템들은 피싱 페이지의 90% 이상에 속아 넘어가고, 사람이라면 몇 초 만에 알아챌 소셜 엔지니어링 신호를 거의 전부 놓칩니다. 흔히 인간이 보안의 가장 약한 고리라고 말해왔지만, 지금 이 순간에는 오히려 인간의 감독이 절대적으로 필수적이라는 사실이 분명해집니다.