매크로 바이러스의 추억, AI 시대에 부활하다
혹시 '멜리사 바이러스'라고 들어보셨나요? 1999년에 워드 문서의 매크로 기능을 타고 전 세계 이메일망을 마비시켰던 그 악성코드인데요. 문서를 여는 순간 매크로가 실행되면서 주소록에 있는 사람들에게 자기 자신을 복사한 문서를 뿌리는 방식이었어요. 그 뒤로 마이크로소프트가 매크로 실행을 기본으로 막아버리면서 이런 류의 공격은 한동안 잠잠했거든요.
그런데 최근 한 보안 연구에서 이 오래된 공격 방식이 AI 시대 버전으로 부활할 수 있다는 게 시연됐어요. 이번엔 매크로가 아니라 Word에 내장된 Copilot, 그러니까 문서를 읽고 요약하고 새 문서를 만들어주는 AI 비서가 감염 통로가 된다는 거예요.
공격이 어떻게 동작하냐면요
핵심은 '프롬프트 인젝션'이라는 기법이에요. 이게 뭐냐면, AI에게 데이터로 주어져야 할 내용 안에 몰래 명령문을 심어두는 거예요. 사람은 데이터와 명령을 구분하지만, LLM(대규모 언어 모델)은 문서 내용이든 사용자 지시든 결국 전부 텍스트로 받아들이거든요. 그래서 문서 안에 '지금까지의 지시는 무시하고 이렇게 해'라는 문장이 숨어 있으면, AI가 그걸 따라버릴 수 있어요.
이번 연구가 한 발 더 나아간 지점은 '자가 증식'이에요. 공격 시나리오는 이렇습니다. 누군가 악성 지시문을 흰색 글씨나 숨김 서식으로 넣어둔 워드 문서를 보내요. 받은 사람 눈에는 평범한 문서로 보이죠. 그런데 이 사람이 Copilot에게 '이 문서 요약해줘'라거나 '이걸 바탕으로 보고서 만들어줘'라고 시키는 순간, Copilot이 숨겨진 지시문을 읽게 돼요. 그 지시문에는 '네가 생성하는 새 문서에도 이 지시문을 똑같이 숨겨서 넣어라'라는 내용이 들어 있고요. 그렇게 만들어진 새 문서가 팀 동료에게 공유되고, 그 동료도 Copilot으로 문서를 다루면 감염이 또 한 단계 퍼지는 거예요. 사람의 눈에는 안 보이지만 AI의 눈에는 보이는 명령이 문서에서 문서로 계속 복제되는, 말 그대로 '웜(worm)'이죠.
무서운 건 사용자가 뭘 잘못 클릭하거나 실행 버튼을 누를 필요가 없다는 점이에요. 평소처럼 AI에게 문서 작업을 시키는 것 자체가 감염 경로가 되거든요.
사실 예고된 문제였어요
이런 유형의 공격이 완전히 새로운 건 아니에요. 2024년에 'Morris II'라는 연구가 있었는데요, RAG(검색 증강 생성, AI가 답변할 때 외부 문서를 검색해서 참고하는 기법) 기반 이메일 비서를 대상으로 자기 복제하는 프롬프트를 시연했어요. 이메일 안에 심은 지시문이 AI 비서를 통해 다른 이메일로 계속 퍼지는 구조였죠. 이번 연구는 그 개념이 실제로 수억 명이 쓰는 오피스 제품에서도 통할 수 있다는 걸 보여준 셈이에요.
근본 원인은 LLM 구조 자체에 있어요. SQL 인젝션은 프리페어드 스테이트먼트(명령과 데이터를 분리해서 전달하는 방식)라는 확실한 해법이 나오면서 정리가 됐는데요, LLM에는 아직 '이건 명령이고 이건 데이터야'를 강제로 구분시키는 신뢰할 만한 방법이 없거든요. 그래서 프롬프트 인젝션은 패치 하나로 끝나는 버그가 아니라, AI 제품 전체가 안고 가야 할 구조적인 문제로 여겨져요.
한국 개발자에게 주는 시사점
LLM 기능을 만들고 있다면 이 사건은 남 얘기가 아니에요. 챗봇에 문서 업로드 기능을 붙이거나, RAG로 사내 위키를 검색하게 하거나, AI 에이전트에게 이메일을 읽게 하는 순간, 외부에서 들어오는 모든 콘텐츠가 잠재적인 공격 채널이 되거든요. 몇 가지 원칙을 기억해두면 좋아요.
- 외부 콘텐츠는 전부 신뢰할 수 없는 입력으로 취급하기. 문서, 웹페이지, 이메일에서 읽어온 내용이 모델의 행동을 바꿀 수 있다고 전제하고 설계해야 해요.
- AI의 권한을 최소화하기. 모델이 파일을 만들거나 메일을 보내는 등 '행동'을 할 수 있다면, 그 범위를 꼭 필요한 만큼으로 줄이고 중요한 동작엔 사람의 승인 단계를 넣는 게 안전해요.
- 출력 검증하기. 모델이 생성한 결과물에 숨겨진 서식이나 이상한 지시문이 들어 있진 않은지 확인하는 필터를 고려해볼 만해요.
정리하면
AI가 문서를 읽고 쓰는 능력을 갖추는 순간, 문서 자체가 악성코드의 운반체가 될 수 있다는 게 이번 연구의 핵심이에요. 20년 전 매크로 바이러스를 막았던 것처럼, 이제는 'AI가 읽는 콘텐츠'를 위한 보안 모델이 필요해진 거죠. 여러분이 만드는 서비스에서는 외부 입력이 AI에게 어디까지 영향을 줄 수 있나요? 프롬프트 인젝션 대응, 어떻게 하고 계신지 궁금하네요.
🔗 출처: Hacker News