2026년 마이크로소프트 코파일럿을 통해 워드 문서로 확산되는 ‘AI 웜’의 위험과 그에 대한 마이크로소프트 및 업계 전문가들의 심층 분석, 그리고 효과적인 대응 방안을 제시합니다.
AI 웜의 등장과 그 위협
노르웨이의 AI 연구자가 2026년 3월, 마이크로소프트 코파일럿을 통해 워드 문서에 전파되는 ‘AI 웜’의 존재 가능성을 보고했습니다. 하콘 몰뢰이의 이 보고서는 이후 마이크로소프트에 의해 사실로 확인되었으며, 인공지능 기반 협업 도구의 새로운 보안 위협으로 부상했습니다. 이 웜은 공격자가 코파일럿이 생성하거나 편집하는 문서의 원본 자료에 악성 명령을 숨겨 확산됩니다. 예를 들어, 재무 보고서 작성 시 입력 자료로 활용되는 문서가 그 대상이 될 수 있습니다.
AI 웜의 작동 방식
악성 명령은 작성 중인 문서의 수치를 변조할 가능성이 있으며, 스스로를 새 문서에 복제해 또 다른 코파일럿 기반 워크플로에서 사용될 때 공격 전달체가 됩니다. 몰뢰이는 주류 상용 생산성 제품군에서 일반 워크플로를 통한 문서 기반 AI 웜의 자가 전파가 공개적으로 시연된 것은 이번이 처음이라고 밝혔습니다. 이로써 AI 기반 업무 환경에 새로운 보안 패러다임이 요구됩니다.
마이크로소프트의 공식 입장
마이크로소프트는 CSOonline에 이메일로 성명을 보내 보고서 내용을 인정하고, 연구자와의 협력에 감사한다고 밝혔습니다. 마이크로소프트는 “이 유형의 위험에 대응하기 위해 여러 지점에서 악성 명령을 차단하고 사용자 요청에 맞게 작업을 유지하는 심층 방어 전략을 사용하고 있다”고 말했습니다. 또한 “안전장치를 지속적으로 강화하고 있으며, 고객에게 최신 업데이트 설치와 AI 생성 콘텐츠 검토를 권장”했습니다.
기존 방어 체계 무력화
트리베카 소프트테크의 최고전략책임자 아만 마하파트라는 이 취약점이 기업의 거의 모든 방어 메커니즘을 우회하여 보기보다 훨씬 심각하다고 평가했습니다. 코파일럿을 전송 매개체로, 정당한 기업 협업을 전달 경로로 삼는 자가 전파형 악성코드입니다. 전달 시 악성이 아니었던 문서가 코파일럿 처리 시 악성으로 변해 이메일 보안을 우회합니다. 사용자 본인 인증 세션을 통한 데이터 유출로 DLP도, AI 서비스의 지시 따르기로 엔드포인트 보호도 우회합니다. 학계는 2년 전부터 이러한 공격을 경고해왔습니다.
마이크로소프트의 대응과 몰뢰이의 평가
몰뢰이는 2026년 3월 3일부터 마이크로소프트 보안 대응 센터와 협력해왔습니다. 마이크로소프트가 소규모 완화 조치를 구현했지만 핵심 취약점은 아직 수정되지 않았다고 밝혔습니다. 그는 “방어자는 인식하지 못하는 위험에 대한 노출을 줄일 수 없다”며 공개의 필요성을 강조했습니다. 그럼에도 몰뢰이는 마이크로소프트의 수정 조치가 공격 표면을 의미 있게 줄였다고 평가했습니다. 또한, 명령과 데이터의 완전한 분리가 해결책의 일부일 수 있지만, 실제 워크플로에서는 그 경계가 모호하다고 지적했습니다.
전통적 방어선 밖의 심각한 위협
사이버 보안 업체 아이키도 시큐리티의 엔터프라이즈 CISO 마이크 윌크스는 이 문제가 “프롬프트 인젝션이 자가 전파되는 문서 무결성 공격으로 확대된다는 점에서 중대하다”고 말했습니다. 그는 일반적인 웜은 아니지만, 감염된 문서가 코파일럿 워크플로에 포함되면 악성 명령이 비즈니스 정보를 변조하고 정당한 내부 파일을 다음 전달체로 전환할 수 있다고 설명했습니다. 윌크스는 재무 보고서, 계약서 등이 신뢰를 유지하며 악성 행동을 물려받을 수 있는 “위험한 기업 공급망”을 형성한다고 지적했습니다.
반복되는 오래된 취약점
이 결함의 핵심은 생성형 AI가 사용자 입력 데이터와 실행 명령을 구분하기 어려워한다는 점입니다. 데이터 분석 기업 렉시스넥시스 리스크 솔루션스 그룹의 CISO 플라비오 빌라누스트레는 수십 년 전 데이터베이스의 SQL 인젝션과 유사하다고 지적했습니다. 당시 데이터베이스는 매개변수 바인딩으로 명령과 데이터를 분리하여 문제를 해결했습니다. 무어 인사이트 앤드 스트래티지의 마이크 레오네와 AI 소프트웨어 업체 코니퍼스닷AI의 CEO 톰 핀들링도 AI 시스템에서 동일한 명령-데이터 분리가 필요하다고 강조했습니다. 핀들링은 마이크로소프트가 코파일럿 내 전파를 늦출 수 있다고 제안했습니다.
근본 수정의 필요성과 업계 합의
IDC의 보안 부문 그룹 부사장 프랭크 딕슨은 근본적 수정을 위해서는 업계 전반의 아키텍처 변경 합의가 필요하며, 이는 단기간에 어렵다고 보았습니다. 명령-데이터 분리는 모든 주요 업체의 모델 또는 플랫폼 레이어에 내재화되어야 한다는 것입니다. 하지만 마이크 레오네는 이에 동의하지 않으며, 마이크로소프트가 자사 고객을 위해 코파일럿 문서 경로를 강화하는 등 독자적인 조치를 취할 수 있다고 반박했습니다. 딕슨은 발원지 파악이 어려워 기업이 변조된 정보를 뒤늦게 알아챌 수 있다는 점도 위험하다고 지적했습니다.
실효성 있는 대응 방안
전문가들은 CISO를 위한 구체적인 제안을 내놓았습니다. IDC의 딕슨은 코파일럿의 자동 검색 동작을 제한하고, 사람이 문서를 명시적으로 선택하도록 요구하여 공격 발판을 차단할 것을 권장했습니다. 또한, 코파일럿이 재무나 중요 문서에 가한 변경 사항을 눈에 보이는 형태로 표시하고 사람의 승인을 요구하는 워크플로 수정이 필요하다고 강조했습니다. IT 부서는 콘텐츠 출처와 AI 처리 내용을 메타데이터로 추적하여 확산 경로를 재구성해야 합니다. 반면 보안 업체 포트라의 타일러 레귤리는 이를 ‘실험실 취약점’으로 평가하며, 실제 기업 워크플로에서는 발생하기 어렵다고 주장했습니다.
결론
2026년 현재, 마이크로소프트 코파일럿을 통한 AI 웜 위협은 AI 기반 업무 환경의 복잡한 보안 과제를 보여줍니다. 기존 방어 체계를 우회하는 특성과 데이터-명령 혼재 문제는 산업 전반의 심층적인 논의와 기술적 개선을 요구합니다. 기업들은 마이크로소프트의 지속적인 완화 노력과 함께, 사용자 교육, 워크플로 변경, 그리고 AI 시스템의 메타데이터 추적과 같은 실효성 있는 대응 방안을 즉시 적용하여 미래 위협에 대비해야 합니다.
