'브랙잭'…악성 확장프로그램 하나로 브라우저 AI 에이전트 장악 가능

가

가

기사의 본문 내용은 이 글자크기로 변경됩니다.

브라우저에 탑재되는 AI 에이전트가 확대되는 가운데, 악성 확장프로그램 하나만으로 AI 기능이 가진 브라우저 권한을 악용할 수 있다는 보안 연구가 공개됐다.

보안업체 포에버 시큐리티 연구진은 9월 16일 구글 크롬의 제미나이 라이브, 퍼플렉시티 코멧, 마이크로소프트 엣지, 오페라 네온, 클로드 인 크롬 등 크로미움 기반 5개 환경을 대상으로 한 공격 연구 '브랙잭(BragJack)'을 공개했다. 연구진은 유사한 구조의 악성 확장프로그램을 이용해 각 브라우저 AI 기능을 대상으로 공격을 재현했다고 밝혔다.

AI를 속인 것이 아니라 'AI와 브라우저 사이'를 공격

이번 연구의 핵심은 기존 AI 공격에서 자주 등장했던 프롬프트 인젝션이나 AI 안전장치 우회가 반드시 필요하지 않았다는 것이다.

브라우저 AI 에이전트는 크게 두 부분으로 구성된다. 사용자의 명령을 이해하고 판단하는 AI가 '두뇌'라면, 실제 웹페이지를 열거나 클릭하고 파일을 읽고 화면을 캡처하는 브라우저 기능은 '몸'에 해당한다.

두 부분은 서로 메시지나 웹 리소스, 내부 API를 이용해 통신한다. 정상적인 환경에서는 AI가 내린 명령만 브라우저가 실행해야 하지만, 연구진은 악성 확장프로그램이 이 통신 과정이나 AI가 신뢰하는 웹페이지를 변조할 수 있는 경우 공격자가 AI 대신 명령을 전달할 수 있다는 점을 확인했다.

특히 확장프로그램이 사용하는 '선언형 네트워크 요청(DNR)' 기능이 주요 공격 수단으로 활용됐다. 이 기능은 원래 광고 차단이나 웹 요청 변경 등에 사용되지만, 연구진은 일부 브라우저에서 보안 헤더를 약화시키거나 정상 자바스크립트 요청을 공격자가 준비한 코드로 바꾸는 데 악용할 수 있었다고 설명했다.

크롬에서는 로컬 파일·화면·카메라까지 영향

구글 크롬에서는 제미나이와 브라우저를 연결하는 권한 있는 웹뷰 영역의 네트워크 요청을 확장프로그램이 가로챌 수 있는 문제가 발견됐다.

이를 악용하면 공격자가 로컬 파일이나 폴더 내용을 읽고, 웹페이지를 캡처하거나 브라우저 프로필 정보를 가져갈 수 있었다. 연구진은 카메라와 마이크를 사용할 가능성도 확인했다고 밝혔다.

해당 문제는 CVE-2026-0628로 등록됐다. 구글은 이를 높은 위험도의 웹뷰 정책 적용 미흡 취약점으로 분류했으며, 악성 확장프로그램을 설치하도록 사용자를 유도한 공격자가 권한 있는 페이지에 스크립트나 HTML을 삽입할 수 있다고 설명했다.

구글은 올해 1월 크롬 143.0.7499.192/.193 버전에서 문제를 수정했다. 따라서 이번 9월 연구 공개 시점에는 이미 패치가 제공된 상태다.

퍼플렉시티 코멧은 웹사이트 행동까지 가능

퍼플렉시티 코멧에서는 영향 범위가 더 넓었다. 코멧은 AI 에이전트가 사용자를 대신해 페이지를 열고 버튼을 클릭하거나 텍스트를 입력하는 기능을 제공한다. 연구진은 코멧 내부 에이전트가 신뢰하는 퍼플렉시티 웹 도메인 가운데 일부에 대한 보호가 충분하지 않아 악성 확장프로그램을 통해 에이전트에 직접 명령을 전달할 수 있었다고 설명했다.

이를 통해 브라우징 기록과 로컬 파일, 화면 캡처뿐 아니라 로그인된 웹서비스에서 AI 에이전트가 사용자 대신 행동하도록 만들 수 있었다. 예를 들어 이메일 서비스에 로그인된 상태라면 AI에게 메일을 확인하거나 특정 작업을 수행하도록 지시하는 식이다.

마이크로소프트 엣지에서도 비슷한 문제가 발견됐다. 연구진은 AI가 명령을 받는 상태와 실제 행동을 수행하는 상태를 빠르게 전환하는 경쟁조건을 이용해, 공격자가 입력한 명령을 에이전트가 실행하도록 만들었다.

관련 취약점 가운데 하나는 CVE-2026-55945로 관리됐으며 마이크로소프트는 이를 엣지 크로미움 기반 브라우저의 정보노출 취약점으로 분류했다. 영향을 받는 버전은 150.0.4078.48 이전 버전으로 공개돼 있다.

오페라 네온과 클로드 인 크롬에서도 확장프로그램이 AI에 임의 명령을 전달할 수 있는 경로가 확인됐다. 다만 클로드 인 크롬은 브라우저 자체 기능이 아니라 확장프로그램 형태이기 때문에, 연구진 역시 브라우저 자체를 공격한 다른 사례와는 위험 구조가 다르다고 설명했다.

'제로클릭 브라우저 해킹'으로 오해하면 안돼

이번 연구에서 특히 주의할 부분은 '제로클릭'이라는 표현이다.

연구진의 실험에서는 악성 확장프로그램이 설치된 이후 사용자가 별도의 AI 명령을 입력하거나 추가 클릭을 하지 않아도 공격을 실행할 수 있는 사례가 확인됐다.

하지만 공격자가 아무런 초기 접근 없이 인터넷에서 곧바로 브라우저를 장악할 수 있다는 의미는 아니다.

구글이 공개한 CVE-2026-0628 설명에서도 공격자가 사용자를 속여 악성 확장프로그램을 먼저 설치하도록 해야 한다는 조건이 명시돼 있다. 따라서 이번 공격은 '악성 확장프로그램이 이미 존재하는 환경에서 AI 브라우저의 권한이 공격 범위를 크게 확대할 수 있다'는 점이 핵심이다.

AI 브라우저 시대, 확장프로그램 관리 더 중요해져

이번 연구는 기업이 생성형 AI 브라우저를 도입할 때 AI 모델의 프롬프트 보안만 관리해서는 부족하다는 점을 보여준다.

기존 브라우저에서 악성 확장프로그램은 웹페이지 정보나 로그인 정보를 탈취하는 정도가 주요 위험이었다. 하지만 AI 에이전트가 브라우저에 통합되면 파일 읽기, 화면 캡처, 웹서비스 조작 등 AI가 가진 추가 권한까지 공격에 이용될 가능성이 생긴다.

특히 기업 환경에서는 ▲브라우저 확장프로그램 허용목록 운영 ▲불필요한 확장프로그램 설치 차단 ▲AI 에이전트의 로컬 파일 접근 최소화 ▲카메라·마이크 권한 제한 ▲메일·문서·업무용 서비스 접근권한 최소화 ▲크롬·엣지 등 브라우저 최신 버전 유지가 필요하다.