ChatMate: MS 코파일럿 AI 샌드박스 최초 탈출…샌드박스 넘어 호스트 전체를 장악하다

ChatMate의 작동 방식: 호스트 장악까지 5단계

ChatMate 공격 체인은 사용자의 추가적인 상호작용 없이 단 하나의 악성 문서 업로드만으로 전체 호스트를 장악하는 과정을 보여줍니다.

1. 1단계 — 프롬프트 인젝션(Prompt Injection): 직원이 악성 명령어가 숨겨진 Word 문서를 Microsoft 365 Copilot에 업로드하거나, Copilot에게 해당 문서에 대해 질문합니다.
2. 2단계 — 샌드박스 내 지속성 확보(Sandbox Persistence): 주입된 프롬프트가 Copilot 서비스의 입력값 검증(input sanitization)을 우회하고, AI 샌드박스 내부에 발판을 마련합니다.
3. 3단계 — 샌드박스 탈출(Sandbox Escape): 익스플로잇이 Copilot의 격리된 컨테이너 환경을 뚫고 나옵니다. 이는 공식적으로 문서화된 최초의 코파일럿 샌드박스 탈출 사례입니다. 이 탈출에는 Azure Container Apps 동적 세션(또는 Azure Kubernetes Service)의 경로 탐색(path traversal) 결함이 악용됐습니다.
4. 4단계 — 수평적 이동(Lateral Movement): 호스트에 진입한 공격자는 Azure 백엔드 인프라 전반으로 이동합니다.
5. 5단계 — 원격 프롬프트 실행(RPE): 공격자는 피해자 기기에 지속적이고 양방향적인 대화형 접근 권한을 획득합니다. 이는 사실상 원격으로 임의 코드를 실행할 수 있는 수준입니다. Rubrik Zero Labs의 책임자 조 흘라딕(Joe Hladik)은 이를 "AI 어시스턴트에 대한 대화형 접근"이라고 표현하며, "공격자가 피해자 시스템에서 임의 코드를 실행할 수 있게 된다"고 설명했습니다.

연구원 오리 라하브는 자신의 LinkedIn 게시글에서 기술적 단계를 상세히 공개했습니다: "해당 익스플로잇 체인은 🔓 프롬프트 인젝션 → 🔓 권한 상승 → 🔓 경로 탐색 → 🔓 .toml 인젝션 → 🔓 LD_PRELOAD 익스플로잇 순서로 진행됐습니다."

취약점 정보, CVSS 점수 및 바운티

• CVE-2026-32193: 샌드박스 탈출을 가능하게 한 Azure Kubernetes Service(AKS)의 경로 탐색 취약점입니다.
• CVSS 점수 8.8점 (심각도: 높음).
• 버그 바운티: $48,000 (약 6,300만 원): 마이크로소프트가 지급했으며, 연구원 오리 라하브가 공개적으로 확인했습니다.

마이크로소프트는 2026년 2월 Rubrik 측의 책임 있는 공개(Responsible Disclosure)를 접수한 후, 3월 중순까지 이 결함을 수정했습니다. 주목할 점은, 이 패치가 서버 측에서 적용되었기 때문에 Microsoft 365 Copilot 고객사가 별도로 업데이트를 배포할 필요가 없었다는 것입니다.

Black Hat USA 2026에서 공개된 AI 보안 위협들

ChatMate 발표는 동일 컨퍼런스에서 쏟아진 일련의 AI 보안 연구 결과 중 하나였습니다:

• Zenity Labs — 'PleaseFix' 제로-클릭 공격 체인: Chrome의 Claude, Chrome의 Gemini, Perplexity Comet, ChatGPT Atlas, Copilot Edge 등 주요 AI 어시스턴트를 대상으로 하는 제로-클릭(사용자 상호작용 불필요) 익스플로잇 체인이 시연됐습니다. 이를 통해 데이터·자격 증명 도용, 계정 탈취, 기기 원격 제어 등이 가능했습니다.
• Zenity Labs — 'AgentForger'(ChatGPT): 단 하나의 악성 링크로 OpenAI의 ChatGPT Agent Builder를 하이재킹해, 공격자가 제어하는 가짜 AI 에이전트를 피해자의 계정 내에 생성할 수 있는 심각한 취약점입니다. 이 에이전트는 해당 직원의 실제 접근 권한과 연결된 앱을 그대로 사용할 수 있었습니다.
• 악성 AI '스킬(skills)' 공급망 공격: Zenity Labs는 Vercel이 운영하는 AI 스킬 레지스트리(애드온 마켓플레이스)인 skills.sh에서 자격 증명을 탈취하는 캠페인을 발견했습니다. 공격자는 인기 AI 서비스(Paperclip, Browser Use)의 이름과 유사하게 오타를 낸(typosquatting) 악성 스킬을 등록했고, 이 스킬들은 총 170만 회 이상의 누적 설치를 기록하며 자격 증명 도용기를 배포했습니다.
• 노출된 AI 백엔드 무기화: Zenity Labs의 허니팟(honeypot, 함정 서버) 시스템은 노출된 Ollama 및 LiteLLM 인스턴스를 하이재킹해 자체 펜테스팅 도구를 타사에 대해 실행하는 공격자들을 포착했습니다.

기업의 AI 어시스턴트 도입에 주는 시사점

• 샌드박스 탈출은 이제 현실: 이론적 위협이 아니라 실제로 입증된 공격 경로입니다. 문서 처리가 가능한 AI 어시스턴트를 도입한 모든 기업은 이 공격 표면을 가진 셈입니다.
• 문서 하나면 충분한 초기 침투: 더 이상 피싱 링크나 매크로 실행 같은 추가 사용자 행동이 필요하지 않습니다. 기존의 이메일 및 파일 보안 체계는 AI가 처리하는 콘텐츠를 하나의 실행 채널(execution channel)로 간주하고 대비해야 합니다.
• 프롬프트 인젝션의 진화: '원격 프롬프트 실행(RPE)' 클래스는 프롬프트 인젝션이 단순한 데이터 유출 문제를 넘어, 연결된 익스플로잇을 통해 완전한 호스트 장악으로 이어질 수 있음을 보여줍니다. 보안팀은 예방(prevention)만으로는 부족하며, AI 에이전트의 파괴적 행동을 감지하고 **되돌릴 수 있는 능력('Agentic Resilience')**을 갖추는 방향으로 사고를 전환해야 합니다.
• AI 소프트웨어 공급망 위협: 170만 회 설치된 자격 증명 도용 캠페인과 오타 노린 스킬들은 AI 에이전트 스킬 레지스트리가 과거 앱 스토어와 유사한 신뢰 및 검증 문제에 직면했음을 보여줍니다.
• 가시성 부재: Rubrik Zero Labs의 조사에 따르면, 조직의 **23%만이 자사가 사용하는 AI 에이전트에 대한 완전한 가시성(visibility)**을 확보하고 있습니다. 이는 이러한 형태의 공격을 탐지하기 어렵게 만드는 주요 요인입니다.