메타(Meta)가 맥(Mac)용으로 출시한 AI 비서 '뮤즈'(Muse)에서 권한 없는 앱이나 간단한 터미널 명령 한 줄만으로 이용자 계정을 완전히 탈취할 수 있는 제로데이(zero-day, 아직 패치가 없던 신규) 취약점이 발견됐습니다. 맥OS 보안 전문가 패트릭 워들이 공개한 이 취약점은, 뮤즈가 외부 앱에 노출해 둔 숨겨진 설정값 중 음성 받아쓰기 서버 주소를 공격자가 마음대로 바꿀 수 있다는 점을 이용합니다. 공격자가 이 값을 자신의 서버로 바꾸면, 이용자의 음성 데이터와 계정 인증 토큰이 공격자 서버로 전송되어 뮤즈가 가진 광범위한 권한(파일·카메라·마이크·일정 등)을 공격자가 그대로 악용할 수 있습니다. 메타는 취약점 공개 직후 핫픽스를 배포했으나, 클라우드 기반 음성 처리 방식과 설정값 관리 설계의 근본적인 문제는 여전히 지적받고 있습니다.
맥OS용 메타 AI 비서 뮤즈(Muse)에서 제로데이 취약점이 발견됐다. 권한 없는 앱 또는 터미널 명령 한 줄로 음성 받아쓰기 서버 주소를 공격자 서버로 교체할 수 있으며, 이를 통해 계정 인증 토큰 탈취 및 AI 에이전트 완전 장악이 가능하다.
공격자는 뮤즈가 보유한 파일·카메라·마이크·위치·일정 접근 권한을 그대로 악용할 수 있다. 왓츠앱 대화 전체 유출, 악성 명령 주입, 지속적 계정 통제 유지 등 다양한 2차 공격으로 이어질 수 있다. 이상 징후가 이용자에게 거의 나타나지 않아 탐지가 어렵다.
두 가지 설계 결함이 원인이다. 첫째, 음성 받아쓰기를 기기 내 처리 대신 클라우드 서버로 전송하도록 설계했다. 둘째, 보안에 민감한 서버 주소 설정값을 다크 모드 같은 일반 설정과 동일한 방식으로 외부 앱이 제한 없이 변경할 수 있도록 허용했다.
보안 연구자 패트릭 워들이 취약점을 공개한 직후 메타가 핫픽스를 배포했다. 메타는 이 취약점이 원격 공격에 해당하지는 않는다고 밝혔으나, 클라우드 음성 처리 설계 이유에 대해서는 설명하지 않았다.
뮤즈를 사용 중인 조직은 핫픽스 적용 여부를 즉시 확인해야 한다. 광범위한 시스템 권한을 가진 AI 에이전트 도입 시 권한 최소화 원칙과 설정값 노출 범위를 사전에 검토하는 것이 필수적이다.
본문
메타가 보안을 전면에 내세워 내놓은 맥용 AI 비서 '뮤즈'(Muse)에서 권한 없는 앱이나 간단한 터미널 명령만으로 이용자 계정을 통째로 장악할 수 있는 제로데이 취약점이 드러났다.
취약점을 찾아내 공개한 사람은 맥OS 보안 전문가 패트릭 워들(Patrick Wardle) 오브젝티브시재단(Objective-See Foundation) 설립자다. 그는 '맥 악성코드의 기술'(The Art of Mac Malware) 시리즈를 쓴 연구자로, 미 항공우주국(NASA)과 국가안보국(NSA)에서 근무한 경력이 있다.
메타가 몇 주 전 내놓은 뮤즈는 이용자를 대신해 약속을 잡고 양식을 채우거나 고객 응대를 수행하는 AI 비서다. 물건을 사고 이미지를 만들거나 문서를 작성할 수 있으며, 이용자가 쓰는 각종 앱과 서비스에도 연결된다. 필요한 도구가 없으면 그 자리에서 만들어 활용하는 기능도 갖췄다. 현재 맥용 앱만 제공되며 윈도용은 없다. 마크 저커버그(Mark Zuckerberg) 메타 창업자 겸 최고경영자(CEO)는 뮤즈가 프라이버시와 보안을 처음부터 염두에 두고 설계됐다고 강조해 왔다.
문제는 이처럼 다양한 작업을 수행하기 위해 뮤즈에 상당한 권한이 주어진다는 점이다. 이용자는 서비스마다 인증 권한을 부여하고, 맥OS가 보호하는 자원에 대한 접근도 허용해야 한다. 여기에는 디스크에 파일을 쓰거나 마이크와 카메라에 접근하고 위치와 일정을 확인하는 권한 등이 포함된다. 애플이 설치된 앱이나 터미널 명령이 민감한 자원에 함부로 접근하지 못하도록 여러 해에 걸쳐 구축한 방어선이다. 뮤즈는 이용자의 허가를 받아 이러한 영역에 접근할 수 있는 만큼, 계정이 탈취될 경우 공격자가 악용할 수 있는 권한도 커진다.
취약점의 출발점은 뮤즈의 숨겨진 설정값이었다. 메타 개발자들은 로컬에 설치된 앱이나 실행된 코드가 맥OS의 접근 권한과 관계없이 문서에 공개되지 않은 설정값들을 변경할 수 있도록 만들어 뒀다. 대부분은 다크 모드처럼 보안과 직접적인 관련이 크지 않은 값이었다.
하지만 그 목록에는 전혀 성격이 다른 설정 하나가 포함돼 있었다. 바로 뮤즈의 음성 받아쓰기 데이터를 보낼 서버 주소다. 뮤즈는 이용자가 말한 내용을 기기 안에서 처리하지 않고 메타 서버로 보내 텍스트로 변환하는데, 이때 데이터를 보낼 서버 주소를 지정하는 값까지 변경할 수 있었다.
공격자가 이 값을 자신의 서버 주소로 바꿔 놓으면 문제가 커진다. 이용자의 음성 데이터가 공격자 서버로 전송될 뿐 아니라 뮤즈 계정을 완전히 통제할 수 있는 토큰까지 함께 넘어가기 때문이다. 결국 별도의 권한이 없는 앱이나 간단한 터미널 명령으로 설정값 하나만 바꿔도 뮤즈가 가진 광범위한 권한을 공격자가 악용할 수 있는 길이 열린 셈이다.
외신 아스테크니카(Ars Technica)에 따르면 워들은 "우리는 에이전트를 조종해 그 권한으로 하고 싶은 것을 뭐든 할 수 있다"고 설명했다. 맥용 정보 탈취 악성코드를 통째로 개발하는 대신 이미 높은 권한을 가진 AI 비서 자체를 공격 도구처럼 이용할 수 있다는 의미다. 이 과정에서 주의 깊은 이용자에게도 별다른 이상 징후가 보이지 않는 경우가 많았다고 워들은 밝혔다.
공격 방식도 한 가지에 그치지 않는다. 공격자 서버를 이용자와 메타 서버 사이에 끼워 넣는 방식이 대표적이다. 이용자가 음성으로 뮤즈에 지시하면 공격자 서버가 해당 요청에 악성 명령을 덧붙여 전달할 수 있다. 예를 들어 왓츠앱(WhatsApp) 대화 전체를 묶어 공격자에게 보내도록 지시하는 식이다. 계정 토큰까지 확보한 공격자는 이후에도 뮤즈 계정에 대한 통제권을 유지할 수 있다.
워들은 간단한 터미널 명령으로 메타 서버에 몰래 프롬프트를 보내는 장면도 공개했다. 다만 공격자가 공격 방법을 그대로 베껴 쓰지 못하도록 실제 악성 명령 대신, 권한이 없는 공격자에게서 어떻게 이런 일이 가능한지를 묻는 내용만 프롬프트에 담았다. 이에 뮤즈는 그런 일은 가능하지 않다고 잘못 답했다.
워들은 이번 취약점이 가능했던 배경으로 메타의 두 가지 설계 판단을 지목했다. 첫 번째는 받아쓰기를 기기가 아닌 클라우드에서 처리하도록 한 것이다. 맥OS는 오래전부터 기기 안에서 음성을 받아쓰고 텍스트로 변환할 수 있는 방법을 제공해 왔다. 이 방식을 택했다면 받아쓰기 서버 주소를 공격자 서버로 바꾸는 이번 공격 경로 자체가 성립하지 않았을 것이라는 설명이다.
두 번째는 아무 앱이나 문서에 공개되지 않은 설정값을 변경할 수 있도록 허용한 점이다. 메타는 뮤즈와 연동하는 앱이 화면 설정 등을 바꿀 수 있도록 이를 열어둔 것으로 보인다. 그러나 다크 모드 같은 일반적인 설정과 이용자의 음성이 처리되는 서버 주소처럼 보안에 민감한 설정을 같은 방식으로 변경할 수 있도록 한 것이 문제였다.
워들은 "이런 앱에 요구되는 기준은 비교할 수 없이 높다"고 말했다. AI 비서가 완벽할 필요는 없지만, 이용자의 민감한 데이터와 다양한 시스템 권한을 다루는 만큼 처음부터 높은 수준의 보안을 전제로 설계했어야 한다는 지적이다. 그는 뮤즈의 설계를 보면 보안이 충분히 고려되지 않은 것으로 보여 우려스럽다고 밝혔다.
메타는 취약점 공개 이후 핫픽스를 배포했다. 다만 이 결함이 원격 공격에 해당하지는 않는다는 입장을 밝혔다. 받아쓰기를 맥OS 내장 기능 대신 클라우드에서 처리하도록 설계한 이유에 대해서는 아직 설명하지 않았다.
한편 워들이 제로데이를 공개하기 약 12시간 전에는 아마존(Amazon)이 뮤즈를 이용한 자사 사이트 쇼핑을 차단하기 시작했다. 뮤즈를 사용하려는 이용자에게는 뮤즈가 아마존 이용약관을 위반하는 승인되지 않은 AI 에이전트라는 안내가 표시됐다. 아마존은 기업 고객을 대신해 구매하는 제3자 응용프로그램 역시 자신을 투명하게 공개하고 서비스 제공자가 참여 여부를 결정할 권리를 존중해야 한다는 입장을 밝혔다. 그러면서 메타에 아마존을 뮤즈에서 제외해 달라고 요청했다고 설명했다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
