문서를 Copilot에게 읽히는 것만으로도 악성 명령이 새 문서로 복사되고, 그 문서가 다시 전파되는 공격이 시연됐다. 백신에 탐지되지 않고 매크로도 사용하지 않는다. 보안 연구원 Håkon Måløy가 Microsoft Copilot prompt injection worm의 개념 증명을 공개하면서, 우리가 AI 비서를 신뢰하는 방식에 근본적인 질문이 제기됐다.
숨은 글자가 웜이 되는 원리
공격의 시작은 지나치게 단순하다. Word 문서에 흰색 배경에 흰색 텍스트로, 그리고 아주 작은 글꼴 크기로 JSON 형식의 악성 프롬프트를 숨긴다1. 사용자가 이 문서를 열어 Copilot에게 초안 작성을 요청하면, Copilot은 작업을 위해 문서의 서식을 제거하고 대형 언어 모델(LLM)에 텍스트를 전송한다. 이 과정에서 사람 눈에는 보이지 않던 지시문이 모델에게는 정상적으로 읽히게 된다1.
모델은 이를 사용자의 정당한 요청 일부로 받아들여 본문을 조작하고, 출력 파일 하단에 동일한 악성 프롬프트를 다시 흰색으로 삽입한다. 이렇게 탄생한 문서는 누군가 Copilot과 함께 열어보기 전까지 완전히 정상으로 보인다1. 감염된 문서가 OneDrive나 이메일로 공유되어 또 다른 Copilot 세션의 소스로 활용되면, 이 웜은 사람들의 정상적인 협업 흐름에 편승해 조용히 이동한다. 다만 전파 사슬은 매번 Copilot의 초안 작성 또는 편집이라는 능동적 작업을 필요로 하므로 완전 자동화된 공격은 아니다2.
왜 수정이 어려운가
마이크로소프트는 2026년 3월 이 동작을 인지하고 두 차례 수정을 시도했으나 실패했다. 이후 GPT-5.5와 5.6 모델로 업그레이드했지만, 연구원은 약간의 변형을 가한 공격 체인이 144일 후에도 여전히 동작함을 확인했다2.
이 취약점이 쉽게 고쳐지지 않는 데는 구조적인 이유가 있다. 마이크로소프트도 같은 해 6월 "프롬프트만으로는 신뢰할 수 있는 보안 경계가 될 수 없다"고 밝혔으며, 메모리 접근 및 격리는 결정론적 시스템으로 제어해야 한다고 언급했다2. 모델 입장에서는 사용자의 정당한 명령과 문서 속 악성 지시문이 동일한 맥락 창에서 뒤섞이기 때문이다. 악성 콘텐츠를 검사하는 행위 자체에 그 콘텐츠가 참여하는 기묘한 역설이 발생하는 셈이다.
또한 악성 프롬프트가 Copilot에 의해 새 문서로 복사되는 순간 원본 문서의 흔적은 사라진다. 감염된 문서가 Copilot이 내부 생성한 문서로 복사되면 원본 출처가 소멸되어, 조직 내 보안 감사자가 '누가, 언제, 어디서' 감염시켰는지 특정하기 어려워진다2.
우리가 취할 수 있는 태도
완전한 기술적 해결책이 부재한 지금, 대응은 문서를 대하는 기본 습관으로 회귀한다. 핵심은 Copilot의 소스로 사용될 모든 외부 문서를 잠재적 위협으로 간주하는 것이다1.
더불어 Copilot이 생성하거나 편집한 최종본을 공유·재사용하기 전에 육안으로 확인하는 절차가 필요하다. 특히 문서 말미에 비정상적으로 작은 글씨나 흰색 텍스트가 없는지 점검해야 한다. Copilot이 필수가 아니라면 Word 옵션에서 기능을 비활성화하는 것도 방법이다1.
이번 사건은 생성형 AI의 보안 문제가 악성코드 탐지의 차원을 넘어서고 있음을 보여준다. 공격자는 더 이상 실행 파일을 심지 않는다. 그저 모델이 읽을 텍스트만으로 지능을 오염시킨다. 결국 가장 중요한 방어선은 기술이 아니라, 이 새로운 맥락을 이해하려는 우리의 인식이다.
1Hidden prompt turns Microsoft Copilot into an AI worm
2Microsoft Copilot for Word Can Copy Hidden Prompts Into New Documents
이 노트는 보도·비평·교육·연구 목적으로 작성되었습니다. 저작권 문의가 있으시면 에서 알려주세요.