메신저 알림 한 통이 인공지능 비서를 통째로 조종하는 통로가 될 수 있다는 연구가 공개됐다. 보안 기업 세이프브리치(SafeBreach)는 6월 3일, 왓츠앱·슬랙·시그널·SMS·인스타그램·메신저 같은 일상 메시징 앱의 알림을 통해 안드로이드의 구글 제미나이(Gemini) 음성비서를 은밀히 탈취할 수 있는 ‘인다이렉트 프롬프트 인젝션(IPI·간접 프롬프트 주입)’ 공격 기법을 상세히 밝혔다.
공격의 핵심은 제미나이의 ‘안드로이드 유틸리티(Android Utilities) 에이전트’다. 이 에이전트는 들어온 알림을 읽어주는 기능을 갖추고 있는데, 제3자 앱이 보낸 신뢰할 수 없는 데이터를 그대로 처리한다는 점이 약점이었다. 공격자는 정교하게 조작한 메시지 안에 악성 명령을 심어두고, 제미나이가 알림을 읽는 순간 그 명령을 실행하도록 유도할 수 있었다. 사용자가 직접 의심스러운 링크를 누르지 않아도 공격이 성립한다는 점에서 위험성이 컸다.
세이프브리치 연구진은 구글이 앞서 도구 연쇄 호출과 ‘지연된 도구 실행’을 차단하며 초기 취약점을 막은 뒤에도, 이를 우회하는 새 기법 ‘페이크 컨텍스트 정렬(Fake Context Alignment)’을 고안했다. 이 기법은 이중의 환상을 만든다. 제미나이의 내부 보안 장치에는 정상적인 권한 요청처럼 보이게 하면서, 피해자에게는 전혀 무해한 상호작용처럼 보이도록 위장하는 방식이다. 이를 통해 스마트홈 기기 제어, 무단 영상 스트리밍, 신뢰하는 사람을 사칭한 대규모 사회공학 공격, 장기 기억 오염을 통한 지속 접근까지 가능했다.
다만 이 취약점은 이미 막힌 상태다. 세이프브리치는 2025년 8월 17일 구글에 사안을 신고했고, 구글은 같은 해 11월 14일 콘텐츠 분류기 업데이트로 해당 공격을 차단했다. 이번 공개는 당장의 새로운 위협이라기보다, AI 에이전트가 외부 데이터와 연결될수록 공격 표면이 어떻게 넓어지는지를 보여주는 사례 연구에 가깝다. 비서가 알림·이메일·파일처럼 외부에서 들어오는 정보를 자동으로 처리할수록, 그 안에 숨은 명령을 걸러내는 일이 갈수록 중요해지고 있다. 제미나이를 비롯한 AI 비서 사용이 빠르게 늘고 있는 만큼, 에이전트의 입력값 검증과 권한 통제는 눈여겨볼 만한 과제다. 특히 음성비서가 스마트홈·메시지·일정 등 기기 기능과 깊이 연동될수록, 작은 입력 하나가 큰 권한으로 이어지지 않도록 막는 설계가 중요해진다. 이번 연구는 화려한 기능 경쟁에 가려지기 쉬운 ‘AI 비서의 보안’이라는 숙제를 다시 환기시킨 사례로 평가된다.
자세한 내용은 세이프브리치(SafeBreach)에서 확인할 수 있다.
이미지 출처: 이디오그램 생성
