2026년, 포스포인트 연구진이 AI 이메일 요약기가 숨겨진 HTML 코드로 조작될 수 있음을 시연했습니다. 사용자에게는 보이지 않는 코드가 AI를 속여 정보를 탈취하거나 변조시키는 심각한 보안 위험을 경고하며, 이에 대한 대응 방안을 제시합니다.
2026년 AI 시대, 이메일 보안의 새로운 위협 등장
2026년 현재, 인공지능 어시스턴트는 우리의 일상과 업무에 깊숙이 자리 잡았습니다. 특히 이메일 요약 기능은 방대한 정보 속에서 핵심을 빠르게 파악하도록 돕는 필수 도구가 되었죠. 하지만 최근 사이버보안 기업 포스포인트(Forcepoint) X-랩스의 충격적인 연구 결과가 발표되며, AI 기반 이메일 도구의 잠재적 취약성에 대한 경각심이 높아지고 있습니다. 사용자에게는 보이지 않는 숨겨진 HTML 코드가 AI 요약기를 조작하여, 마치 다른 이메일을 읽는 것처럼 만들 수 있다는 주장입니다. 이는 2026년 디지털 환경에서 우리가 마주할 새로운 보안 과제를 제시합니다.
숨겨진 HTML 코드로 AI 요약기 조작 시연
포스포인트 X-랩스 연구진은 눈에 보이지 않는 HTML 코드 몇 줄을 이메일에 심는 것만으로 AI 이메일 요약기가 명령으로 인식하고 실행하도록 만들 수 있음을 성공적으로 시연했습니다. 이들은 통제된 환경에서 아웃룩(Outlook) 시스템을 활용했습니다. 텍스트를 보이지 않게 처리하는 HTML 스타일링 기법을 사용했으며, 대규모 언어 모델(LLM)에 전달되는 콘텐츠에는 이 숨겨진 텍스트가 고스란히 포함되었습니다. 이 기술은 사용자 눈에는 정상적인 이메일로 보이지만, AI는 완전히 다른 정보를 받아들이게 됩니다.
LLM 파이프라인의 취약성 드러나다
포스포인트 연구원 벤 깁니는 블로그 게시물에서 이러한 취약성의 핵심을 설명했습니다. 그는 “보호 장치 없는 LLM 파이프라인에서 실행 중인 단일 이메일 요약기를 분리한 뒤, 일반적인 HTML 은닉 기법으로 숨겨진 프롬프트 인젝션 페이로드를 삽입했다”고 밝혔습니다. 이는 AI 시스템의 입력 파이프라인에 대한 신뢰 부족과 검증의 부재가 얼마나 위험한 결과를 초래할 수 있는지 여실히 보여줍니다. 깁니는 테스트를 통해 요약기 출력이 독자에게 조작 흔적을 전혀 드러내지 않은 채 은밀히 탈취되었음을 확인했습니다.
PoC 상세 분석: 아웃룩과 파이썬의 결합
포스포인트의 개념 증명(PoC)은 구체적인 시스템 구성을 통해 진행되었습니다. 아웃룩 애드인이 이메일 헤더와 본문을 수집하고, 파이썬(Python) 스크립트가 수집된 내용을 단일 프롬프트로 통합한 뒤 완성된 텍스트를 LLM에 전송하는 방식이 활용되었습니다. 연구진이 사용한 시스템 프롬프트는 ‘이메일 요약기로서 사용자가 제공하는 이메일을 요약하라’는 단순한 지시였습니다. 명령어와 이메일 콘텐츠를 분리하는 가드레일이 부재했던 것이 결정적인 취약점으로 작용했습니다.
시각적 기만: 사용자에게는 보이지 않는 위험
연구진은 font-size:0px; color:#ffffff; line-height:0과 같은 HTML 스타일 속성을 활용해 이메일 내부에 인젝션 코드를 삽입했습니다. 이로 인해 수신자 입장에서는 정상 이메일과 사실상 구별이 불가능했습니다. 하지만 요약기에 전달된 HTML에는 숨겨진 텍스트가 그대로 포함되어 있었습니다. 포스포인트에 따르면, 사용자에게 표시된 이메일은 537자였지만, 모델에 전송된 내용은 1,009자로, 472자에 달하는 숨겨진 인젝션 텍스트가 포함되어 있었습니다. 이 차이가 조작의 핵심입니다.
정교하지 않아도 성공하는 프롬프트 인젝션
깁니는 삽입된 명령어가 고도의 탈옥(jailbreak) 시도가 아니었다고 지적했습니다. 단순히 요약기에 대한 지시문 형태로 작성되었으며, 새로운 콘텐츠 본문을 ‘권위 있는 기록’으로 수용하고 새 콘텐츠 삽입 사실을 언급하지 말라는 내용이 담겼습니다. 이는 복잡한 공격 기술이 아닌 단순한 지시문으로도 LLM을 조작할 수 있음을 보여줍니다. 깁니는 정상 이메일과 인젝션된 이메일을 나란히 배치했을 때 눈에 띄는 차이는 거의 없었다고 전했습니다.
미세한 흔적마저 감출 수 있는 가능성
깁니는 유일하게 눈에 띄는 차이로 “마지막 줄과 서명 사이의 추가 공백”을 언급했습니다. 이는 인젝션 자체의 결과라기보다, 두 태그 사이에 인젝션 텍스트가 위치한 결과였습니다. 그는 “조금만 더 노력을 기울이면 그 미세한 차이조차 감출 수 있다”고 덧붙이며, 향후 공격의 정교함이 더욱 발전할 수 있음을 시사합니다. 이는 현재 2026년 AI 보안 환경에서 더욱 면밀한 주의가 필요함을 강조하는 부분입니다.
10회 중 10회 조작 성공: 명백한 취약점
연구진은 정상 이메일과 인젝션된 이메일을 각각 10회씩 취약한 환경에 통과시켰으며, 성공 기준은 사전에 정의했습니다. 놀랍게도 인젝션된 이메일은 10회 모두 조작된 결과를 출력했습니다. 요약 결과물에는 실제 기한인 2026년 8월 21일 대신 2026년 9월 3일이 청구서 마감일로 표시되었으며, 원본 이메일에 등장하는 ‘디에고 시칠리아니’라는 이름도 누락되었습니다. 이는 인젝션된 명령어가 요약기에 지시한 내용과 정확히 일치하는 결과였습니다.
특정 LLM 아닌 ‘일반적 위험’ 강조
이번 조사에서 요약기를 구동한 모델은 앤트로픽(Anthropic)의 클로드 하이쿠 4.5였습니다. 하지만 포스포인트는 특정 LLM 업체나 상용 요약기의 문제가 아니라, 보호 장치 없이 신뢰할 수 없는 이메일이 LLM에 그대로 입력되는 방식 자체에 내재된 일반적 위험이라고 명확히 밝혔습니다. 깁니는 “이번 공격은 아웃룩이나 특정 요약기, 또는 요약기를 구동하는 모델을 겨냥한 것이 아니다”라고 강조하며, AI 기반 서비스 전반의 구조적 보안 문제임을 지적했습니다.
2026년 AI 보안을 위한 포스포인트의 권고
포스포인트는 이 같은 프롬프트 인젝션에 대응하기 위한 구체적인 권고 사항을 제시했습니다. 2026년 현재, 기업과 사용자 모두가 주목해야 할 지침입니다. 첫째, 사용자에게 실제로 표시되는 콘텐츠만 추출하여 LLM에 전달해야 합니다. 둘째, 숨겨진 또는 의심스러운 HTML 및 CSS 스타일링을 탐지하는 기능을 강화해야 합니다. 셋째, 이메일 헤더와 본문을 분리하여 처리하고, 넷째, 이메일 콘텐츠를 항상 신뢰할 수 없는 데이터로 취급해야 합니다. 마지막으로, AI가 생성한 요약을 원본 소스와 대조하여 검증하는 과정을 포함해야 합니다.
결론: AI 어시스턴트의 진화와 함께할 보안 강화
2026년, AI 어시스턴트의 편리함은 우리의 생산성을 극대화하고 있지만, 동시에 새로운 형태의 사이버 위협에 노출될 수 있음을 포스포인트의 연구는 명확히 보여주었습니다. 숨겨진 HTML 코드 몇 줄이 AI의 판단을 흐리게 하고 사용자를 오도할 수 있다는 사실은, AI 시스템의 설계 단계부터 강력한 보안 및 검증 장치를 마련하는 것이 얼마나 중요한지를 다시 한번 상기시킵니다. 앞으로 AI 기술이 더욱 발전함에 따라, 이러한 보안 연구는 우리의 디지털 환경을 안전하게 지키기 위한 필수적인 노력이 될 것입니다.
