코파일트가 스스로 털어놓은 보안 결함…‘CoSnitch’ 원클릭 공격의 작동 방식

이 발견으로 이론에 머물던 공격은 실제 공격 사슬로 이어졌습니다. 물론 autorun=1 하나만으로 모든 문제가 발생한 것은 아닙니다. Copilot의 일반적인 질의 방식과 연결 서비스 접근, URL 가져오기 기능이 서로 결합되면서 위험이 커졌습니다.

CoSnitch를 만든 세 가지 약점

1. 문서화되지 않은 자동 실행 매개변수

Copilot은 인증된 세션에서 페이지가 열릴 때 프롬프트를 자동 실행할 수 있는 비공개 autorun=1 매개변수를 지원했습니다. 일반적인 사용자 동의 절차로 명확하게 제시되지 않았다는 점이 공격 사슬의 첫 고리가 됐습니다.

2. 악성 링크를 통한 조용한 프롬프트 주입

공격자는 autorun=1을 Copilot의 q= 질의 매개변수와 함께 사용해 특수하게 만든 링크에 프롬프트를 삽입할 수 있었습니다. 피해자가 링크를 열면 추가적인 승인 동작이 뚜렷하게 표시되지 않은 상태에서 해당 프롬프트가 실행될 수 있었습니다.

즉, 공격은 사용자가 직접 시작한 대화가 아니라 이메일이나 웹페이지 같은 외부 콘텐츠를 통해 전달된 지시에서 출발합니다. Copilot은 피해자의 기존 로그인 세션 안에서 공격자의 문장을 처리하게 됩니다.

3. 연결 데이터 접근과 영구 메모리 오염

주입된 프롬프트는 피해자에게 권한이 부여된 연결 서비스에서 정보를 가져오도록 Copilot에 지시할 수 있었습니다. 가져온 데이터를 인코딩한 뒤 Copilot의 URL 가져오기 기능을 이용해 공격자가 제어하는 외부 엔드포인트로 전송하는 시나리오도 제시됐습니다.

또한 공격자가 통제하는 웹페이지를 Copilot이 요약하게 만들고, 그 페이지에 포함된 악성 지침이 Copilot의 영구 메모리에 기록되도록 유도할 가능성도 있었습니다.

따라서 CoSnitch의 위험은 일반적인 프롬프트 주입보다 넓었습니다. 자동 실행, 사용자에게 이미 허가된 정보에 대한 접근, 공격자가 통제하는 데이터 전송 경로가 한 번에 결합됐기 때문입니다. 영구 메모리 주입까지 발생하면 피해가 최초 대화에 그치지 않고 이후 상호작용에도 영향을 줄 수 있습니다.

어떤 정보가 노출될 수 있었나

CoSnitch가 모든 연결 서비스에 직접 침입한 것은 아닙니다. 피해자의 Copilot 세션에 이미 부여된 권한을 이용했기 때문에 실제 노출 범위는 계정에 어떤 애플리케이션이 연결돼 있고 어떤 접근 권한이 승인돼 있었는지에 따라 달라집니다.

보고된 대상에는 Gmail, Google Drive, OneDrive, 캘린더, 이메일, 파일, Copilot 채팅 기록 등이 포함됐습니다.

이 점은 위험을 평가할 때 중요합니다. 연결된 서비스가 거의 없는 계정과 개인·조직 정보를 광범위하게 검색할 수 있도록 설정된 계정은 공격 표면이 다릅니다. 결국 AI 비서가 가진 권한이 공격의 도달 범위를 결정한 셈입니다.

CVE와 심각도, 패치 현황

Varonis는 CoSnitch를 CVE-2026-24301로 식별하고 심각도를 ‘치명적’이라고 평가했습니다. 하지만 제공된 자료에는 신뢰할 만한 숫자 형태의 CVSS 점수가 없습니다. 따라서 ‘치명적’이라는 분류만으로 특정 점수를 추정해서는 안 됩니다.

Varonis는 2025년 12월 Microsoft에 CoSnitch를 신고했다고 밝혔습니다. 제공된 보도에 따르면 Microsoft는 2026년 8월 18일 패치를 배포했습니다.

일부 자료는 2026년 2월에 이미 초기 완화 조치가 있었다고 언급하지만, 그 조치가 공격 사슬의 어느 부분을 해결했는지, 8월 조치와 기술적으로 어떻게 달랐는지는 제공된 근거만으로 확인하기 어렵습니다.

Varonis는 실제 환경에서 CoSnitch가 악용됐다는 증거를 확인하지 못했다고 밝혔습니다. 또한 제공된 자료만으로는 CVE-2026-24301이 미국 사이버보안·인프라 보안국(CISA)의 ‘실제 악용 취약점 목록(KEV)’에 등재됐다고 볼 근거도 없습니다. 이는 검토한 자료에서 실제 악용이 문서화되지 않았다는 뜻이지, 악용이 절대 없었다는 증명은 아닙니다.

Microsoft 365 Copilot Enterprise에도 같은 문제가 있었나

제공된 연구는 Microsoft Copilot Personal을 대상으로 진행됐습니다. 다만 사용자가 Copilot Personal에 로그인한 상태에서 기업 서비스와 계정을 연결해 두었다면, 공격의 잠재적 영향이 조직 데이터로 이어질 수는 있습니다.

그렇다고 해서 Microsoft 365 Copilot Enterprise 자체에서 동일한 취약점이 독립적으로 확인됐다고 단정할 수는 없습니다. 한 자료는 이 차이를 명확히 구분하지만, 다른 2차 보도는 기업용 제품까지 영향을 받았다고 주장합니다. 현재 제공된 근거만으로는 이 상충하는 주장을 해소하기 어렵습니다.

따라서 조직은 연결 계정의 권한과 패치 적용 상태를 점검해야 하지만, 이번 연구를 Microsoft 365 Copilot Enterprise가 동일한 취약점에 노출됐다는 증거로 표현해서는 안 됩니다.

Reprompt·SearchLeak·RovoBlast와의 연관성

CoSnitch는 사용자가 이미 접근할 수 있는 정보를 AI 비서가 대신 처리하고 행동할 때 발생하는 위험을 다룬 Varonis의 연속적인 연구 흐름에 포함됩니다.

• Reprompt: 질문을 반복하는 방식으로 Copilot의 안전장치를 우회하는 문제를 다뤘습니다.
• SearchLeak: Varonis는 Microsoft 365 Copilot Enterprise가 데이터를 조용히 외부로 유출하는 도구처럼 작동할 수 있다고 설명했습니다.
• RovoBlast: Atlassian Rovo를 대상으로, 기업 정보에 접근할 수 있는 AI 비서가 악성 콘텐츠에 의해 정보를 공개하거나 특정 행동을 하도록 유도될 수 있다는 우려를 제기했습니다.

CoSnitch만의 독특한 지점은 발견 방식입니다. 연구진은 단순히 악성 지침을 콘텐츠에 심은 것이 아니라, Copilot에 자동 실행이 왜 실패해야 하는지 설명하게 만드는 과정에서 공격을 가능하게 한 비공개 메커니즘을 찾아냈습니다.

AI가 자신의 방어 체계를 설명하는 과정에서 단서를 노출하고, 그 단서가 프롬프트 주입과 권한 있는 데이터 접근, 영구 메모리 조작으로 이어졌다는 점이 CoSnitch를 주목할 만한 사례로 만들었습니다.