코파일럿이 자기 약점을 실토했습니다 — 코스니치 취약점과 여덟 달

보안 취약점은 보통 코드를 뜯어보거나 트래픽을 관찰해서 찾아냅니다. 그런데 이번 건은 방식이 달랐습니다. 연구진은 코파일럿에게 "왜 그건 불가능하냐"고 계속 물었고, 코파일럿은 설명하는 과정에서 문서에 없던 자기 기능을 스스로 털어놨습니다.

코파일럿이 자기 약점을 실토했다

보안업체 바로니스(Varonis)가 마이크로소프트 코파일럿 퍼스널에서 발견한 취약점입니다. CVE-2026-24301 번호가 붙었고, 연구진은 코스니치(CoSnitch)라는 이름을 붙였습니다.

스니치는 밀고자를 뜻합니다. AI 비서가 자기 약점을 스스로 신고한 셈이라 붙은 이름입니다.

무슨 일이 있었나 — 8월 18일 패치

마이크로소프트는 2026년 8월 18일 이 문제에 대한 패치를 배포했습니다.

바로니스는 실제로 악용된 정황은 발견하지 못했다고 밝혔습니다. 다만 취약점이 존재했던 기간이 짧지 않았다는 점이 이번 사안의 핵심입니다.

클릭 한 번이면 끝나는 공격

이 취약점의 심각성은 필요한 사용자 행동이 단 하나였다는 데 있습니다. 링크를 한 번 누르는 것입니다.

보통의 공격은 여러 단계를 요구합니다. 파일을 내려받게 하거나, 로그인 정보를 입력하게 하거나, 권한 허용 창을 누르게 해야 합니다. 코스니치는 그런 추가 단계 없이 진행됐습니다.

autorun이라는 문서에 없던 스위치

문제의 중심에는 공개 문서에 나와 있지 않던 URL 파라미터가 있었습니다. autorun이라는 이름의 값입니다.

이 값이 켜져 있으면 링크에 실린 지시문이 사용자의 별도 확인 없이 실행될 수 있었습니다. 원래는 사용자가 내용을 보고 직접 보내야 하는 단계가 건너뛰어지는 셈입니다.

q 파라미터와 짝을 이뤄야 작동했다

이 스위치는 혼자서는 작동하지 않았습니다. 질의 내용을 담는 파라미터와 함께 있어야 지시문이 자동으로 실행됐습니다.

두 개가 짝을 이뤄야 열린다는 구조 때문에 오랫동안 눈에 띄지 않았습니다. 하나만 놓고 보면 평범한 기능이었기 때문입니다.

무엇이 새 나갈 수 있었나

실행된 지시문은 그 시점의 로그인 상태를 그대로 물려받습니다. 사용자가 이미 인증해 둔 서비스에 접근할 수 있다는 뜻입니다.

이 지점이 AI 비서 취약점의 특징입니다. 비밀번호를 훔칠 필요가 없습니다. 이미 열려 있는 문을 그대로 쓰면 됩니다.

지메일·드라이브·캘린더까지 이어진 연결

코파일럿 퍼스널은 사용자가 연결해 둔 외부 서비스의 정보를 가져올 수 있습니다. 보도된 범위에는 지메일, 구글 드라이브, 구글 캘린더가 포함됐습니다.

편의를 위해 만든 연결이 그대로 노출 범위가 됩니다. 많이 연결할수록 한 번의 실수로 나갈 수 있는 정보의 폭도 넓어집니다.

코파일럿의 기억과 대화 기록

외부 서비스만이 아닙니다. 코파일럿 자체에 축적된 메모리와 지난 대화 기록도 접근 대상에 포함됐습니다.

AI 비서와 오래 대화한 사람일수록 그 안에 쌓인 정보가 많습니다. 업무 내용, 일정, 관계, 취향 같은 것들이 한곳에 모여 있습니다.

메타 해킹 — 거절을 되물어서 알아낸 것

발견 과정이 이 사건에서 가장 흥미로운 부분입니다. 바로니스는 이 방식을 메타 해킹이라고 불렀습니다.

연구진은 코파일럿에게 자동 실행이 왜 불가능한지를 반복해서 물었습니다. 거절 답변이 돌아오면 그 답변을 근거로 다시 질문을 만들었습니다.

AI가 스스로 설계를 설명하게 만드는 방법

이 과정에서 코파일럿은 자신이 왜 안전한지를 성실하게 설명했습니다. 그리고 그 설명 안에 문서화되지 않은 파라미터의 존재와, 과거에 그것이 어떻게 동작했는지, 어떤 보호 조치가 들어갔는지가 담겨 있었습니다.

묻지도 않은 정보가 거절의 근거로 딸려 나온 셈입니다.

왜 거절이 정보가 되는가

여기에 구조적인 딜레마가 있습니다. 좋은 AI 비서는 왜 못 하는지를 친절하게 설명하도록 만들어집니다. 그냥 "안 됩니다"라고만 하면 쓸모가 없기 때문입니다.

그런데 설명이 구체적일수록 내부 구조가 드러납니다. 사용성과 보안이 정면으로 부딪히는 지점입니다. 이 균형을 어떻게 잡을지는 아직 정답이 없는 문제입니다.

디셈버 2025에 알렸고 패치는 8월 18일

바로니스가 마이크로소프트에 이 문제를 알린 것은 2025년 12월이었습니다. 완전한 패치가 나온 것은 2026년 8월 18일입니다.

약 여덟 달이 걸렸습니다.

여덟 달이라는 시간의 의미

업계에서 통용되는 취약점 공개 관행은 대체로 90일입니다. 발견자가 개발사에 알린 뒤 90일이 지나면 공개할 수 있다는 것이 일반적인 기준입니다.

여덟 달은 그 두 배를 넘습니다. 복잡한 문제였을 수 있고, 수정에 따르는 부작용을 검토하느라 늦어졌을 수도 있습니다. 다만 그 기간 동안 사용자는 문제의 존재를 몰랐습니다.

2월에 한 번 막았지만 충분하지 않았다

중간 조치가 없었던 것은 아닙니다. 마이크로소프트는 2026년 2월에 질의 파라미터가 대화 입력창에 내용을 넣는 동작을 제한하는 완화 조치를 적용했습니다.

하지만 그것으로 문제가 끝나지 않았고, 더 포괄적인 수정이 8월에야 들어갔습니다. 부분적인 차단이 근본 해결이 아니었다는 뜻입니다.

바로니스가 올해 찾은 세 번째 구멍

코스니치는 바로니스가 올해 코파일럿에서 찾아낸 세 번째 취약점입니다.

한 회사가 한 제품에서 연이어 세 건을 찾았다는 사실 자체가 시사하는 바가 있습니다. 표면이 넓고, 아직 충분히 탐색되지 않았다는 뜻입니다.

리프롬프트 — 두 번 물으면 뚫렸다

첫 번째는 리프롬프트(Reprompt)였습니다. 같은 요청을 두 번 반복하면 안전장치가 우회되는 문제였습니다.

거절해야 할 요청을 처음에는 막았다가 재차 물으면 응답해 버리는 현상입니다. 언어 모델 기반 시스템에서 반복적으로 보고돼 온 유형입니다.

서치리크 — 기업용이 유출 통로가 된 사례

두 번째는 서치리크(SearchLeak)로, 마이크로소프트 365 코파일럿 엔터프라이즈를 은밀한 유출 경로로 바꿀 수 있었던 문제였습니다.

기업 환경은 개인 계정보다 접근 가능한 데이터의 범위가 훨씬 넓습니다. 같은 유형의 취약점이라도 파급이 다릅니다.

세 건이 공통으로 말하는 것

세 건을 나란히 놓으면 공통점이 보입니다. 모두 모델 자체의 결함이 아니라 모델을 둘러싼 연결 구조에서 나왔다는 점입니다.

어떤 파라미터를 받아들이는지, 어떤 서비스에 연결돼 있는지, 어떤 권한으로 실행되는지가 문제였습니다. AI 보안의 상당 부분이 AI가 아니라 그 주변부에 있다는 뜻입니다.

악용 흔적은 없다는 말의 무게

바로니스는 실제 악용 증거를 보지 못했다고 했습니다. 안심할 만한 소식이지만 한계도 있습니다.

이런 공격은 흔적이 거의 남지 않습니다. 정상적인 로그인 세션에서 정상적인 API 호출로 데이터를 읽어 가기 때문입니다. 탐지되지 않았다는 것과 일어나지 않았다는 것은 같은 말이 아닙니다.

AI 비서가 늘어날수록 커지는 표면

AI 비서는 유용해지기 위해 더 많은 것에 연결됩니다. 메일, 문서, 일정, 메신저, 사내 시스템으로 범위가 넓어집니다.

연결이 늘어날수록 하나의 취약점이 닿을 수 있는 범위도 함께 커집니다. 편의와 노출 면적이 같은 방향으로 움직이는 구조입니다.

프롬프트 주입은 왜 근본 해결이 어려운가

이 계열 공격의 뿌리에는 프롬프트 주입이라는 문제가 있습니다. 언어 모델은 개발자의 지시와 외부에서 들어온 내용을 같은 텍스트로 받아들입니다.

사람이라면 "이건 명령이고 저건 그냥 자료"라고 구분하지만, 모델에게는 둘 다 입력입니다. 이 경계를 확실히 나누는 방법이 아직 확립되지 않았습니다.

링크를 눌러도 되는가 — 사용자가 할 수 있는 일

실용적인 대응은 단순합니다. AI 비서 서비스로 연결되는 링크를 받았을 때, 보낸 사람이 확실하지 않다면 누르지 않는 것입니다.

특히 주소에 낯선 값들이 붙어 있는 링크는 주의하실 만합니다. 그리고 AI 비서에 연결해 둔 서비스 목록을 한 번 점검해서, 실제로 쓰지 않는 연결은 해제해 두시는 것이 노출 범위를 줄이는 가장 쉬운 방법입니다.

저시력 사용자에게 자동 실행이 위험한 이유

자동 실행은 화면을 자세히 확인하기 어려운 사용자에게 특히 불리하게 작용합니다.

확인 창이 뜨는 구조라면 화면 낭독기가 그 내용을 읽어 줄 기회가 생깁니다. 하지만 아무 확인 없이 바로 실행되면 읽어 줄 대상 자체가 없습니다. 무슨 일이 일어났는지 알아차릴 단서가 사라지는 겁니다.

사용자 확인 단계는 번거로운 절차처럼 보이지만, 시각 이외의 방식으로 화면을 파악하는 사람에게는 상황을 인지할 수 있는 거의 유일한 접점입니다.

기업 보안팀이 지금 점검할 것

조직 차원에서는 세 가지를 확인해 볼 만합니다. AI 비서에 연결된 외부 서비스 목록, 그 연결에 부여된 권한 범위, 그리고 비서를 통한 데이터 접근이 로그로 남는지 여부입니다.

세 번째가 특히 중요합니다. 기록이 없으면 사고가 나도 무슨 일이 있었는지 재구성할 수 없습니다.

실제 사례 — AI 비서 취약점이 실제 피해로 이어진 경로

지난 2년 사이 AI 비서를 겨냥한 취약점 보고는 꾸준히 늘었습니다. 문서에 숨긴 지시문이 요약 과정에서 실행되거나, 웹페이지 내용이 브라우저 확장의 동작을 바꾸는 사례들이 보고됐습니다.

공통점은 사용자가 위험한 행동을 한 적이 없다는 것입니다. 문서를 열었고, 요약을 눌렀고, 링크를 클릭했을 뿐입니다. 평소와 같은 동작이 공격의 통로가 된다는 점이 이 계열 위협의 특징입니다.

공개 시점을 둘러싼 오래된 논쟁

발견자가 언제 공개해야 하는지는 보안 업계의 오래된 쟁점입니다. 너무 빨리 공개하면 패치 전에 악용될 수 있고, 너무 늦추면 사용자가 모르는 채로 위험에 노출됩니다.

이번 사례는 후자 쪽 부담을 보여 줍니다. 여덟 달 동안 사용자는 선택할 정보를 갖지 못했습니다.

핵심 정리

정리하면 이렇습니다.

첫째, 코파일럿 퍼스널의 CVE-2026-24301(코스니치)은 링크 클릭 한 번으로 연결된 계정의 데이터가 빠져나갈 수 있었던 취약점이며, 2026년 8월 18일 패치됐습니다.

둘째, 발견 방식이 이례적이었습니다. 연구진이 거절 이유를 반복해 묻자 코파일럿이 문서에 없던 자기 기능을 설명 중에 드러냈습니다.

셋째, 제보는 2025년 12월, 완전한 패치는 8개월 뒤였습니다. 2월의 부분 완화만으로는 충분하지 않았습니다.

참고하실 만한 것

AI 비서를 쓰고 계시다면 오늘 연결된 서비스 목록을 한 번 열어 보시면 좋겠습니다. 언제 연결했는지 기억나지 않는 항목이 있다면, 그건 지금 쓰지 않는 연결일 가능성이 큽니다.

그리고 이 사건에서 기억할 만한 대목은 취약점 자체보다 발견 방식입니다. AI에게 "왜 안 되는지"를 묻는 것만으로 내부 구조가 드러날 수 있다는 점은, 앞으로 AI 제품을 만드는 쪽에서 계속 마주하게 될 문제입니다.

출처

• Varonis — CoSnitch: When Your AI Assistant Becomes Its Own Whistleblower
• The Hacker News — Microsoft Copilot Personal Flaws Could Let One Click Exfiltrate Data
• CSO Online — Microsoft finally patches critical one-click Copilot vulnerability
• Computerworld — Microsoft patches one-click Copilot vulnerability after eight months
• Dark Reading — 'CoSnitch' Attack Tricked Copilot Into Revealing Own Architecture
• Cybersecurity News — Critical Microsoft Copilot CoSnitch Vulnerability
• GBHackers — Critical Microsoft Copilot CoSnitch Flaw
• CyberPress — CoSnitch Microsoft Copilot Flaw Enables Silent Data Theft

협업문의 : kuroicode@gmail.com
블로그 : https://blog.svil.dev/
홈페이지 : https://kuroicode-beep.github.io/svil-homepage/