보안 연구팀 Forever Security가 일반 브라우저 확장 프로그램 하나로 Chrome, Perplexity Comet, Microsoft Edge, Opera Neon, Claude in Chrome 등 5개 크로미움(Chromium) 기반 제품의 AI 어시스턴트를 乗っ取り(탈취)할 수 있음을 시연했습니다. 공격자의 확장 프로그램이 이미 설치된 경우, AI가 신뢰하는 웹 페이지에 악성 코드를 주입해 AI 에이전트를 원격 조종하거나, 로컬 파일·카메라·마이크·브라우저 기록 등에 접근할 수 있습니다. Chrome(CVE-2026-0628, CVSS 8.8)과 Edge(CVE-2026-55945)는 이미 패치가 배포됐으며, 나머지 세 제품은 최신 버전 유지 및 설치된 확장 프로그램 점검이 권장됩니다. 2026년 9월 16일 기준 실제 악용 사례는 보고되지 않았으나, 브라우저 내 AI 에이전트 아키텍처 자체의 구조적 취약점이 다시 조명된 사례입니다.
Forever Security 연구팀이 광고 차단기 등에 사용되는 일반 권한 두 가지만으로 Chrome·Comet·Edge·Opera Neon·Claude in Chrome의 내장 AI 어시스턴트를 탈취할 수 있는 기법을 발표했다. 확장 프로그램이 AI의 신뢰 페이지에 코드를 주입해 마치 정식 벤더처럼 AI에게 명령을 내리는 방식이다.
제품에 따라 로컬 파일 읽기, 카메라·마이크 활성화, AI 에이전트 제어(사용자 대신 행동), 브라우저 프로필·방문 기록 유출, 스크린샷 촬영이 가능하다. 피해가 가장 큰 Comet은 파일 읽기·방문 기록·스크린샷·에이전트 제어가 모두 가능했다.
브라우저 내 AI 에이전트는 특정 신뢰 페이지(예: gemini.google.com)의 명령만 수용하도록 설계됐으나, 확장 프로그램이 해당 페이지에 코드를 주입하거나 네트워크 요청을 변조해 신뢰 채널을 가로챌 수 있었다. 이는 저권한(low-privilege) 확장이 고권한(high-privilege) AI 에이전트에 접근하는 구조적 문제다.
Chrome은 2026년 1월 버전 143.0.7499.192에서 CVE-2026-0628을 수정했고, Microsoft는 7월 2일 Edge 150.0.4078.48에서 CVE-2026-55945를 패치했다. Comet·Opera Neon·Claude in Chrome은 각각 버그바운티를 지급했으나 정확한 수정 일정은 공개되지 않았으며, 최신 버전 유지와 확장 프로그램 검토가 권장된다.
Chrome과 Edge 사용자는 즉시 최신 버전으로 업데이트해야 한다. Comet·Opera Neon·Claude in Chrome 사용자는 소프트웨어를 최신 상태로 유지하고, 불필요하거나 출처가 불분명한 브라우저 확장 프로그램을 즉시 제거해야 한다. 공격 전제 조건이 '악성 확장 프로그램 설치'이므로, 확장 프로그램 설치 정책 수립이 핵심 예방책이다.
본문
Forever Security의 보안 연구원들은 일반 브라우저 확장 프로그램 하나로 크로미움(Chromium) 기반 5개 제품, 즉 Chrome의 Gemini Live, Perplexity Comet, Microsoft Edge, Opera Neon, 그리고 Chrome용 Claude 확장 프로그램에 내장된 AI 어시스턴트를 장악할 수 있음을 실증했습니다.
확장 프로그램이 설치되면 클릭 한 번으로 각 제품의 내장 AI에 접근할 수 있었습니다. Comet, Edge, Opera Neon, Chrome용 Claude에서는 공격자 대신 AI 에이전트를 조종할 수 있었고, Chrome과 Comet에서는 사용자 컴퓨터의 파일을 읽을 수 있었으며, Chrome에서는 카메라와 마이크를 켤 수도 있었습니다.
이번 결과는 연구자 시연이며 실제 공격 사례는 아닙니다. 각각의 공격은 공격자의 확장 프로그램이 피해자의 브라우저에서 이미 실행 중이어야 한다는 전제가 필요합니다.
Forever Security에 따르면, 이 제품들은 모두 같은 방식으로 작동합니다. AI에는 화면을 보고, 파일을 열고, 카메라를 사용하고, 행동을 수행할 수 있는 브라우저 내부의 '몸체(body)'와, 회사 서버에서 실행되어 몸체에 지시를 내리는 '두뇌(brain)'가 있습니다. 몸체는 Chrome의 경우 gemini.google.com, Comet의 경우 perplexity.ai처럼 신뢰된 단일 웹 페이지에서 오는 명령만 수행합니다.
확장 프로그램은 원래 그 몸체에 명령을 내릴 수 없습니다. 확장 프로그램은 웹 페이지를 변경할 수 있을 뿐, 브라우저 자체를 제어하지는 못합니다. Forever Security의 방법은 몸체가 수신하는 신뢰 페이지를 점령한 뒤, 그것을 통해 몸체에 자체 명령을 전송하는 것이었습니다.
연구팀에 따르면 확장 프로그램에는 두 가지 일반적인 권한만 필요했습니다. 광고 차단기가 사용하는 웹 페이지 변경 권한과, 브라우저의 네트워크 트래픽을 변경하는 declarativeNetRequest 권한입니다. 두 가지를 합치면 신뢰 페이지에 자체 코드를 삽입하고, 마치 벤더인 것처럼 AI와 통신할 수 있었습니다.
Chrome 관련 사례는 새로운 것이 아닙니다. Forever Security 연구원 Gal Weizman은 이를 3월에 GlicJack이라는 이름으로 처음 공개 발표했으며, Google은 2026년 1월 초 Chrome 버전 143.0.7499.192에서 이를 수정했습니다. 이 취약점은 CVE-2026-0628로 추적되며, 미국 사이버보안청(CISA)이 10점 만점에 8.8점으로 평가했습니다(미국 국립표준기술연구소(NIST)가 아직 점수를 부여하지 않아 CISA가 직접 산정).
나머지 네 가지는 Weizman이 올해 추가로 발견한 것입니다. 같은 아이디어를 활용해 Forever Security는 Comet, Edge, Opera Neon, Chrome용 Claude의 내장 AI에도 접근할 수 있었습니다. Edge 관련 취약점만 CVE를 부여받았으며, CVE-2026-55945로 CVSS 4.2의 낮은 심각도로 평가됩니다. Microsoft는 7월 2일 Edge 버전 150.0.4078.48에서 이를 수정했습니다.
Comet, Opera Neon, Chrome용 Claude 취약점은 CVE 없이 Forever Security의 자체 보고에 기반합니다. 회사는 5개 제품에서 총 약 $20,000의 버그 바운티를 받았다고 밝혔으나, 제품별 수치를 합산하면 $20,500이 됩니다.
Forever Security는 각 공격의 가능 범위를 다음과 같이 정리했습니다.
| 기능 | Chrome | Comet | Edge | Opera Neon | Claude in Chrome |
|---|---|---|---|---|---|
| 로컬 파일 읽기 | Yes | Yes | No | No | No |
| 카메라 및 마이크 | Yes | No | No | No | No |
| AI 에이전트 제어 | No | Yes | Yes | Yes | Yes |
| 브라우저 프로필 유출 | Yes | Yes | No | No | No |
| 방문 기록 유출 | No | Yes | No | No | No |
| 스크린샷 촬영 | Yes | Yes | No | No | No |
| 클릭 불필요 | Yes | Yes | Yes | Yes | Yes |
| CVE | CVE-2026-0628 | 없음 | CVE-2026-55945 | 없음 | 없음 |
| 지급된 바운티 | $7,000 | $7,000 | $5,000 | $900 | $600 |
연구팀은 Comet이 가장 심각한 사례라고 밝혔습니다. Perplexity가 Comet을 완전한 AI 구동 브라우저로 구축했기 때문에, 에이전트의 권한이 광범위했습니다. 탈취될 경우 컴퓨터의 모든 파일을 읽고, 방문한 사이트 목록을 확인하고, 스크린샷을 찍고, 사용자처럼 행동할 수 있었습니다.
Perplexity는 메인 페이지에서 확장 프로그램을 차단해뒀었지만, Forever Security는 동일한 방식으로 잠기지 않은 잔여 테스트 주소인 testing.perplexity.com을 활용했습니다.
Chrome용 Claude는 가장 경미한 사례였으며, Forever Security도 이를 직접 인정했습니다. 회사는 "Claude in Chrome은 브라우저가 아니라 브라우저 확장 프로그램"이라고 기술하며, 확장 프로그램이 브라우저를 악용하는 것이 아닌 다른 확장 프로그램을 악용하는 것이기 때문에 이번 연구에서 가장 덜 심각한 발견이라고 설명했습니다. Anthropic은 이를 중간 심각도로 평가하고 바운티를 지급했습니다.
또한 Forever Security는 Anthropic이 Claude 취약점을 최초 보고한 곳으로 자사를 인정했다고 밝혔습니다. 이는 동일한 취약 지점에 관한 이전 공개 보고서들과 함께 거론됩니다.
보안 기업 LayerX는 4월에 ClaudeBleed라는 관련 결함을 설명했으며, Manifold Security는 7월에 이후 버전에도 유사한 취약점이 남아 있다고 보고했습니다. Edge는 가장 뚫기 어려운 사례였다고 연구팀은 밝혔습니다. Microsoft가 확장 프로그램 트릭을 차단하려 시도했기 때문에, Forever Security는 두 가지 약점을 결합했습니다. Edge AI에 프롬프트를 전송할 수 있도록 허용된 Microsoft 마케팅 페이지를 장악한 뒤, 레이스 컨디션(race condition)이라는 타이밍 결함을 이용해 에이전트를 '생각(think)' 모드와 '행동(act)' 모드 사이에서 적절한 순간에 전환시켜 프롬프트를 실행하도록 유도했습니다.
Opera Neon은 가장 쉬운 사례였습니다. AI가 opera.com의 명령을 수신했는데, Opera가 해당 페이지에서 확장 프로그램의 코드 실행을 차단하지 않아 확장 프로그램이 명령을 곧바로 전송할 수 있었습니다. Forever Security는 Opera가 거의 동시에 동일한 결함을 자체 발견했다고 보고했지만, 그럼에도 바운티를 지급했다고 밝혔습니다.
2026년 9월 16일 기준으로 두 CVE 모두 미국 CISA의 KEV(Known Exploited Vulnerabilities, 실제 악용 확인 취약점) 목록에 등재되지 않았으며, 5가지 기법 중 실제 공격에 사용됐다는 공개 증거도 없습니다. 모든 공격 기법은 공격자가 이미 사용자를 설득해 확장 프로그램을 설치시켰다는 것을 전제로 하며, 이는 많은 다른 브라우저 공격과 동일한 출발점입니다.
CVE가 부여된 두 제품의 경우, Chrome을 버전 143.0.7499.192 이상으로, Edge를 버전 150.0.4078.48 이상으로 업데이트하는 것이 해결책입니다. Comet, Opera Neon, Chrome용 Claude에 대해 Forever Security는 각 벤더가 바운티를 지급했으나 자사가 설명한 정확한 기법에 대한 수정 일정을 제시하지 않았다고 밝혔습니다. 이 세 제품의 사용자는 소프트웨어를 최신 상태로 유지하고 설치된 확장 프로그램을 검토해야 합니다.
Forever Security는 공통적으로, 브라우저 안에 AI 에이전트를 넣는 것이 브라우저가 오랫동안 막아온 경로를 다시 열어준다고 지적했습니다. 이로 인해 저권한(low-privilege) 확장 프로그램이 브라우저의 고권한(high-privilege) 영역에 접근할 수 있게 됩니다. 다른 연구자들도 지난 한 해 동안 AI 구동 브라우저에서 관련 취약점을 보고한 바 있습니다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
