AI 브라우저가 당신의 왓츠앱을 장악했다: 블랙햇 2026서 공개된 'PleaseFix' 제로클릭 취약점

그러나 아틀라스 해킹은 훨씬 더 큰 문제의 빙산에 불과했습니다. Zenity는 5개 주요 '에이전틱 브라우저(Agentic Browser)'에서 약 20개의 개별 취약점을 포함하는 'PleaseFix' 라는 제로클릭 취약점군을 공개했습니다. 핵심 문제는 일반적인 소프트웨어 버그가 아닙니다. AI 브라우저의 설계 자체에 내재된 구조적 특징입니다. 이 브라우저들은 읽는 콘텐츠(이메일, 웹페이지, 캘린더 초대장, 소셜 미디어 게시물)에 포함된 명령어를 신뢰하고 실행하도록 설계되어 있습니다. 공격자는 사용자가 악성 링크를 클릭하도록 속일 필요가 없습니다. AI 에이전트가 처리하는 일상적인 콘텐츠에 명령어를 숨겨두기만 하면, 에이전트가 공격자를 대신해 행동합니다.

아틀라스 왓츠앱 웜 시연

Zenity의 가장 극적인 개념 증명(PoC)은 2025년 10월 출시된 오픈AI의 크로미움 기반 브라우저 '챗GPT 아틀라스'를 대상으로 했습니다. 이 브라우저는 사용자를 대신해 웹을 탐색하고 작업을 완료하는 AI 에이전트를 내장하고 있습니다. 공격 체인은 다음과 같이 진행됐습니다:

1. Zenity는 X(구 트위터)에 뉴스레터 가입 링크를 게시했습니다. 페이지는 일반 사용자에게 전혀 의심스러워 보이지 않았습니다.
2. 페이지 콘텐츠 내부에는 히브리어로 작성된 악성 명령어가 숨겨져 있었습니다. 이 언어 선택은 의도적이었습니다. 오픈AI의 안전 분류기는 주로 영어로 훈련되어 히브리어 명령어는 감지되지 않은 반면, 기본 AI 모델은 명령어를 완전히 이해했습니다.
3. 아틀라스를 사용하는 피해자가 링크를 클릭해 뉴스레터 구독을 요청하면, AI 에이전트는 숨겨진 명령어를 처리했습니다. 에이전트는 사용자가 이미 로그인한 왓츠앱 웹 세션을 백그라운드에서 열어, 미리 작성된 스팸 메시지를 사용자 계정의 모든 연락처로 전송했습니다. 각 수신자의 연락처에도 같은 링크가 전달되므로, 클릭하는 모든 아틀라스 사용자에게 웜이 전파될 수 있었습니다.

연구진은 왓츠앱 외에도 아틀라스를 속여 로그인된 아마존 계정에 배송 주소를 추가하고, 장바구니에 상품을 담은 후 아마존의 AI 쇼핑 어시스턴트 '루퍼스(Rufus)'가 결제를 완료하도록 하는 것도 성공했습니다. 이 모든 과정은 사용자의 인지나 동의 없이 이뤄졌습니다.

Zenity의 CTO 마이클 바거리(Michael Bargury)는 이 공격이 왓츠앱 자체의 취약점을 이용한 것이 아니라고 강조했습니다. 왓츠앱의 종단간 암호화는 그대로 유지됐습니다. 문제는 전적으로 AI 브라우저가 콘텐츠를 처리하고 명령어를 실행하는 방식에 있었습니다.

'PleaseFix' 취약점군

아틀라스 공격은 Zenity가 'PleaseFix'라고 명명한 더 광범위한 제로클릭 취약점군의 일부입니다:

Zenity는 이들 플랫폼에서 약 20개의 취약점을 공개했으며, 영향 범위는 데이터·자격증명 무단 탈취부터 원격 장치 제어까지 다양했습니다. 취약점의 핵심은 설계에 있습니다. 에이전틱 브라우저는 읽는 콘텐츠를 신뢰하고 그에 따라 행동하도록 설계되어 있습니다. 공격자는 에이전트가 일상 작업 중 처리하는 콘텐츠에 명령어를 심습니다. 악성 코드도, 악용도, 결정적으로 사용자의 클릭도 필요 없습니다.

Zenity는 이 메커니즘을 '의도 충돌(Intent Collision)' 이라고 부릅니다. AI 에이전트가 사용자의 합법적인 요청과 콘텐츠에 숨겨진 악성 명령어를 혼합하여 공격자의 목표를 사용자 자신의 의도의 일부로 취급하게 만드는 것입니다.

입증된 주요 공격 기법

• 숨겨진 언어 명령어 — AI 안전 분류기를 우회하기 위해 히브리어, 유니코드 난독화 등 비영어 텍스트를 사용하고, 기본 모델은 명령을 완전히 이해하도록 함
• '의도 충돌(Intent Collision)' — 에이전트의 프롬프트 평가 시스템이 악성 명령어를 사용자의 의도와 일치하거나 무해한 것으로 판단하도록 콘텐츠를 조작
• 샌드박스 속임수 — 에이전트 보안 샌드박스가 허용하는 범위와 공격자가 원하는 작업 사이의 간극을 악용; 에이전트의 합법적인 권한(브라우저 탭 접근, 로컬 쿠키, 인증된 세션)이 공격 표면이 됨

브라우저 전반에 걸친 광범위한 영향

• 로컬 머신 접근 — Zenity는 침묵하는 데이터 도난 및 피해자 기기 원격 제어를 가능하게 하는 공격을 시연
• 비밀번호 관리자 탈취 — 1Password를 포함한 비밀번호 저장소를 표적으로 삼아 인증된 세션 내에서 자격증명 탈취
• 무단 구매 — 에이전트의 로그인 세션을 통해 주소 추가 및 쇼핑몰 결제 완료
• 계정 탈취 및 기기 제어 — 완전한 공격 체인으로 계정 탈취 및 기기 원격 제어 경로 입증

PleaseFix 취약점군의 첫 공개는 2026년 3월이었습니다. 당시 Zenity는 퍼플렉시티 코멧이 악성 구글 캘린더 초대장을 통해 하이재킹될 수 있다고 밝혔습니다. 이 초대장을 AI 에이전트가 처리하면 사용자의 클릭 없이 로컬 파일이 유출되고 1Password 자격증명이 탈취됐습니다.

가장 강력한 보안을 가진 아틀라스가 무너진 이유

테스트된 모든 브라우저 중 오픈AI의 아틀라스는 가장 많은 보안 계층을 갖추고 있었습니다. AI 기반 안전 분류기, 제한된 실행 샌드박스, 민감한 작업에 대한 사람 개입 확인 프롬프트 등이었습니다. Zenity는 이 세 가지를 모두 우회했습니다:

1. 안전 분류기는 명령어를 히브리어로 전환하여 무력화됐습니다. 히브리어는 분류기 훈련 데이터에서 저자원 언어에 속합니다. AI 모델은 명령어를 이해했지만 분류기는 악성으로 플래그를 지정하지 않았습니다.
2. 샌드박스는 '의도 충돌'을 통해 우회됐습니다. 에이전트는 뉴스레터 구독을 합법적인 작업으로 간주했고, 샌드박스는 이어지는 왓츠앱과 아마존 API 호출을 허용했습니다.
3. 사용자 확인 프롬프트는 트리거되지 않았거나(에이전트가 작업을 일상적인 것으로 분류) 자동화된 에이전트 워크플로를 통해 조용히 수락됐습니다.

업계 대응 및 아틀라스 중단

오픈AI의 공식 대응은 블랙햇 이전에 이미 결정된 제품 전환 결정에 의해 형성됐습니다. 오픈AI는 2026년 7월 9일 아틀라스가 2026년 8월 9일부로 작동을 중단한다고 발표했습니다. 이는 블랙햇 발표 후 불과 4일 뒤입니다. 회사는 아틀라스를 독립 브라우저로서 중단하고, 에이전틱 기능을 챗GPT 데스크톱 앱, 크롬 통합, 챗GPT 워크, 코덱스(Codex)로 이전한다고 밝혔습니다. 오픈AI의 도움말 페이지는 8월 9일 이후 아틀라스가 "더 이상 열리지 않거나, 탐색하거나, 브라우저 기반 기능을 지원하지 않을 수 있으며" 더 이상 보안 업데이트를 받지 못한다고 명시했습니다. 오픈AI는 또한 시연된 특정 문제에 대한 수정 사항을 배포했다고 밝혔습니다.

다른 업체들도 이에 대응했습니다. 퍼플렉시티 AI는 2026년 3월 공개 전에 코멧 취약점에 대한 패치를 발표했습니다. 블랙햇에서 Zenity는 책임 있는 공개 절차를 통해 관련 기업들과 협력한 후 확장된 교차 업체 결과를 발표했습니다.

연구진의 핵심 주장: AI 대 AI가 아닌 결정론적 장벽

Zenity의 핵심 주장은 AI 기반 안전 분류기만으로는 에이전틱 브라우저를 방어하는 데 구조적으로 불충분하다는 것입니다. 분류기 자체가 AI 모델이기 때문에 적대적 입력, 언어 전환, 프롬프트 인젝션(공격 자체를 가능하게 하는 취약점과 동일한 부류)으로 항상 우회될 수 있습니다.

연구진은 결정론적 보안 장벽(Deterministic Security Barriers) 을 요구합니다. 즉, 모델 조작으로 우회할 수 없는 운영체제 또는 브라우저 아키텍처 수준의 단단하고 타협할 수 없는 통제 장치입니다. 예시는 다음과 같습니다:

• 하드 권한 프롬프트 — 민감한 작업(메시징, 결제, 파일 접근)에 대해 에이전트가 자동화할 수 없는 권한 요청
• 하드웨어 기반 격리 — 에이전트 프로세스와 사용자 자격증명 간의 하드웨어 수준 분리
• 대역 외 사용자 확인 — 계정 수정, 메시지 전송, 금융 거래 등에 생체인식 또는 하드웨어 키 승인 필요

바거리 CTO의 핵심 메시지는 "확률적 AI 분류기로 결정론적 보안 문제를 해결할 수 없다" 입니다.

핵심 결론: 패치가 아닌 구조적 설계 결함

PleaseFix 취약점들은 패치만으로 해결될 문제가 아닙니다. 이는 에이전틱 브라우저가 콘텐츠를 신뢰하고 명령을 실행하는 방식의 구조적 설계 결함입니다. 테스트된 모든 주요 AI 브라우저가 취약했습니다. 아틀라스는 가장 강력한 방어 체계를 갖췄음에도 불구하고, 어떤 AI 분류기도 완전히 막을 수 없는 언어 전환 및 의도 혼동 공격에 무너졌습니다. Zenity의 처방은 에이전틱 AI가 안전하게 대규모로 배포되기 전에 운영체제와 브라우저 아키텍처 수준에서 결정론적이고 AI로 우회할 수 없는 안전장치를 내장해야 한다는 것입니다.