2026년 Varonis가 발견한 Copilot의 CoSnitch 취약점은 악성 URL과 메모리 오염으로 민감 데이터를 유출 가능하게 했으며, 마이크로소프트가 패치한 고위험 보안 문제입니다.
2026년, 사이버 보안 업계는 Varonis 연구팀이 마이크로소프트 코파일럿(Copilot)에서 발견한 심각한 취약점인 ‘CoSnitch’에 주목하고 있습니다. 이 취약점은 AI 모델의 새로운 공격 가능성을 드러내며, CVE-2026-24301이라는 식별자와 함께 심각도 8.8/10의 높은 점수를 받았습니다. 마이크로소프트는 2026년 8월 중순에 서버 측 패치를 통해 이 문제를 해결했지만, 이는 AI 보안의 미래에 중요한 경고를 던지고 있습니다.
Varonis 연구팀은 코파일럿이 민감 데이터를 유출하도록 조작하는 일련의 세 가지 취약점을 발견했습니다. 이는 단순히 코드의 버그를 찾는 것을 넘어, AI의 작동 방식과 방어 체계를 이해하고 우회하는 ‘메타 해킹’이라는 새로운 접근 방식을 통해 이루어졌습니다. 기존의 AI 가드레일은 악의적인 요청을 거부하도록 설계되었지만, CoSnitch는 이러한 거부조차 공격자에게 유용한 정보를 제공할 수 있음을 보여주었습니다.
메타 해킹: AI의 약점을 파고드는 새로운 기법
Varonis 연구원들은 전통적인 버그 헌팅이나 역공학 방식 대신, 코파일럿과 ‘대화’하며 그 방어 체계와 작동 원리를 학습했습니다. AI가 요청을 거부할 때마다 "그것은 작동하지 않을 것입니다. 왜냐하면…"이라는 설명을 제공했는데, 연구팀은 이를 통해 AI의 내부 로직에 대한 귀중한 통찰을 얻었습니다. Varonis는 이 과정을 AI가 스스로를 ‘고자질(Snitch)’했다고 표현했습니다.
이러한 "메타 해킹" 기법은 모델을 직접 악용하는 것이 아니라, AI가 스스로 협력하도록 조작하는 것입니다. 코파일럿의 설명은 연구원들이 방어 시스템의 지도를 그리고, 이를 우회하는 방법을 찾아내도록 도왔습니다. 이 방식은 자연어 인터페이스를 가진 모든 에이전트형 플랫폼에 적용될 수 있는 잠재력을 가지고 있어, 2026년 현재 AI 보안 연구의 새로운 장을 열었습니다.
악성 URL을 통한 데이터 유출 경로
연구팀은 코파일럿과의 심층 대화를 통해, 클릭 시 민감 데이터를 유출하는 연쇄 반응을 일으킬 수 있는 악성 URL 생성 방법을 우연히 알게 되었습니다. 예를 들어, "https://copilot.microsoft.com/?q=&autorun=1*"과 같은 URL은 사용자가 클릭하는 즉시 코파일럿이 악성 프롬프트를 실행하게 만들 수 있습니다. 공격자는 이러한 링크를 피싱 이메일에 포함하여 사용자를 속이고, AI가 피해자의 민감 데이터를 공격자의 인프라로 전송하도록 지시할 수 있습니다.
이 초기 단계에서는 주로 사용자가 코파일럿 세션 중에 공유한 데이터가 유출될 수 있습니다. 이는 AI 챗봇과의 대화 내용이나 입력된 정보 등이 해당됩니다. CoSnitch는 단일 취약점이 아닌 세 가지 취약점 체인의 일부로, 단순한 웹 링크 클릭만으로도 데이터 유출의 시작점이 될 수 있음을 보여주며 사용자들에게 각별한 주의를 요구합니다.
앱 연동 시 위험성 증폭: 민감 정보 탈취
코파일럿의 데이터 유출 위험은 사용자가 AI를 Gmail, Google Drive, Calendar 등 개인 앱과 연결할 때 기하급수적으로 증폭됩니다. Varonis는 악성 프롬프트가 코파일럿에게 Gmail에서 발견된 모든 이메일 주소, 이메일 본문에 저장된 비밀번호 및 기타 비밀 정보, Drive 폴더에 저장된 모든 파일, Calendar에 기록된 모든 일정을 유출하도록 지시할 수 있다고 경고했습니다.
이는 AI가 개인의 디지털 생활에 깊숙이 통합될수록 그만큼 더 큰 보안 위협에 노출될 수 있음을 의미합니다. 코파일럿은 사용자 편의를 위해 다양한 앱과의 연결을 지원하지만, CoSnitch와 같은 취약점이 악용될 경우 개인의 모든 민감 정보가 손쉽게 탈취될 수 있는 심각한 상황을 초래할 수 있습니다. AI 통합 서비스의 보안은 여전히 중요한 과제임을 시사합니다.
영구 메모리 오염: CoSnitch의 은밀한 위협
CoSnitch 취약점 체인의 세 번째이자 가장 은밀한 부분은 "웹 요약을 통한 영구 메모리 오염"입니다. 공격자는 코파일럿이 요약할 때 공격자 지시를 피해자의 영구 메모리 저장소에 주입하는 웹 페이지를 만들 수 있습니다. Varonis는 "주입된 명령은 비밀번호 변경, 세션 취소, 장치 재등록 후에도 영구적으로 지속된다"고 경고했습니다. 이는 일반적인 소프트웨어 취약점과 달리 매우 장기적이고 지속적인 위협을 의미합니다.
이러한 결함은 "간접 프롬프트 주입(indirect prompt injection)"이라고 불리며, AI가 지시와 분석해야 할 데이터를 구분하지 못하는 근본적인 문제에서 비롯됩니다. 이 기법은 새로운 것은 아니지만, CoSnitch 사례를 통해 그 심각성이 다시 한번 부각되었습니다. 공격자가 삽입한 명령이 AI의 ‘영구 기억’ 속에 자리 잡아 언제든 다시 활성화될 수 있다는 점은 AI 보안의 새로운 패러다임을 요구합니다.
마이크로소프트의 대응과 미래 AI 보안 과제
Varonis는 2025년 12월에 CoSnitch의 존재를 마이크로소프트에 알렸으며, 마이크로소프트는 2026년 8월 중순에 서버 측 패치를 통해 문제를 해결했습니다. 다행히 Varonis는 이 취약점이 실제 공격에 악용된 증거를 찾지 못했습니다. 이번 패치는 사용자 측에서 별도로 조치할 필요 없이 서버 단에서 적용되었으며, 마이크로소프트는 가드레일 작동 방식에 대한 설명을 차단하는 방식으로 대응했을 것으로 추정됩니다.
연구원들은 CoSnitch가 코드 버그가 아니기 때문에, 유사한 "메타 해킹" 기법이 다른 자연어 인터페이스를 가진 AI 모델에도 적용될 수 있다고 경고합니다. 이는 코파일럿에 국한된 문제가 아니라, AI 기술 전반의 보안 패러다임 전환이 필요함을 시사합니다. AI 에이전트 플랫폼이 더욱 정교해지고 다양한 서비스와 연동됨에 따라, 그에 상응하는 강력한 보안 대책과 연구가 2026년 이후에도 지속적으로 요구될 것입니다.
