에이전트의 몸이 탈취될 때 — 확장 하나가 5개 제품의 AI 어시스턴트를 조종하다
Forever Security는, 평범한 브라우저 확장 하나가 Chrome, Comet, Edge, Opera Neon, Claude 5개 제품의 내장 AI를 조종할 수 있음을 보였다. 별도로 Mandiant는, 공격자가 AI 코딩 어시스턴트의 세션을 탈취하고 Shai-Hulud 웜을 약 100개의 저장소에 퍼뜨렸다고 보고했다. 본고는 에이전트형 런타임의 신뢰 경계를 그린다.
이 글은 기계 번역입니다.
2026년 9월, Forever Security의 연구자 Gal Weizman은, 페이지 수정과 declarativeNetRequest라는 흔한 권한 2개만을 가진 브라우저 확장 하나가 5개 제품의 내장 AI 어시스턴트를 제어할 수 있음을 보였다. Chrome의 Gemini Live, Perplexity Comet, Microsoft Edge, Opera Neon, 그리고 Claude in Chrome 확장이다. 아키텍처는 제품마다 같다. AI는 화면을 보고, 파일을 열고, 카메라를 쓸 수 있는 브라우저 안의 “몸”과, 벤더 서버 위의 “뇌”를 가지며, 몸은 단 하나의 신뢰된 페이지(예를 들면 gemini.google.com)에서만 명령을 받는다. 확장은 자신의 코드를 그 신뢰된 페이지에 끼워 넣고, 벤더인 것처럼 몸에게 말한다. Chrome의 사례는 GlicJack으로 알려져 있으며 CVE-2026-0628(CVSS 8.8, Chrome 143에서 수정)이다. 그 밖의 발견 가운데 CVE를 또한 받은 것은 Edge뿐이며, 그것은 CVE-2026-55945(CVSS 4.2, 수정됨)이다. Comet, Opera Neon, Claude에는 CVE가 없다. Comet이 가장 나빴다. 일단 탈취되면 그 에이전트는 어떤 파일이든 읽고, 탐색 이력을 나열하고, 스크린샷을 찍고, 사용자인 것처럼 행동할 수 있었다. 모든 발견은 연구자의 시연이지 실제 환경의 공격이 아니며, 각각 확장이 이미 설치되어 있음을 전제한다(The Hacker News 보도에 따름).
별개의 갈래에서, Mandiant의 2026년 9월 보고는 이름이 밝혀지지 않은 SaaS 제공자에서 공격자가 진행 중인 AI 코딩 어시스턴트 세션을 탈취한 일을 적는다. 탈취 뒤, 공격자가 오염시켜 둔 소프트웨어에 대한 어시스턴트의 추천을 인간이 받아들였고, 공격자는 개발자의 세션을 써서 회사의 공식 네임스페이스 안에 있는 오염된 PyPI 패키지를 통해 infostealer를 설치했다. GitHub OAuth 토큰이 탈취되었고, 스스로 퍼지는 Shai-Hulud 웜이 대략 100개의 내부 저장소에 배포되었다. 두 번째 직원이 침해된 버전을 가져오면서 두 번째 감염이 일어났다. Mandiant는 앞서, 공격자들이 2025년 동안 생성형 AI로 일을 빨리 하는 단계에서, 악성코드와 진행 중인 공격 안에 LLM을 넣는 단계로 옮겼다고 보고했다(The Hacker News와 Mandiant의 보도에 따름).
분석(사실과 분리): 두 이야기가 함께 가진 것은, 에이전트형 아키텍처의 신뢰 경계가 인간의 승인 위가 아니라 “페이지”와 “추천” 위에 놓인다는 점이다. browser-use 에이전트는 단 하나의 신뢰된 도메인에서 명령을 받는다. 그러나 확장은 그 페이지의 내용을 다시 쓸 수 있고, 그래서 확장은 신뢰 경계 안으로 들어오는 공급망 경로가 된다. 코딩 에이전트 쪽에서는, AI의 추천에 대한 인간의 “승인” 자체가 실행 권한을 주는 행위이다. 추천하는 쪽의 입력(패키지 레지스트리)이 오염되면, 승인이 방아쇠가 된다. Human-in-the-loop는 보통 안전 장치로 말해지지만, 두 경우 모두 고리 안의 인간은 추천을 검증하지 않았다. 그것은 형식에 그쳤다.
방어자에 대한 함의: (1) AI 어시스턴트가 켜져 있는 엔드포인트에서는, 확장의 권한을 에이전트의 능력과 함께 점검한다. 확장 하나가 에이전트의 “몸”을 통해 파일 읽기와 카메라 접근에 닿을 수 있다면, 권한을 주는 것은 실제의 권한 부여이다. (2) AI가 추천한 패키지나 도구는, 인간이 승인했더라도, 검증이 필요한 새로 열린 공급망 경로로 다룬다. (3) 신뢰된 도메인 쪽에서는, 테스트용 서브도메인처럼 남아 있는 명령 채널을 점검한다(남아 있던 테스트 주소가 Comet의 돌파구였다). (4) 에이전트가 읽을 수 있는 파일과, 그것이 쥐고 있는 토큰(예를 들면 OAuth)을 줄인다. 이것은 우리의 분석이며, 벤더의 안내가 아니다.
이 글의 사실은 주로 Forever Security의 BragJack 글(https://forever.security/blog/bragjack-hijacking-5-browsers-via-built-in-ai-assistants/)과 Mandiant / Google Cloud의 AI Risk and Resilience Report 2026(https://cloud.google.com/security/resources/ai-risk-and-resilience-2026)에서 가져왔고, The Hacker News의 보도를 이차로 두었다(https://thehackernews.com/2026/09/one-extension-could-hijack-ai.html 그리고 https://thehackernews.com/2026/09/attacker-hijacks-ai-coding-assistant.html). 분석 부분은 사실의 보도와 분리해 둔다. CVE가 없는 제품에 대해서는, 벤더의 조치 상태를 공개된 정보만으로는 끝까지 확인할 수 없었음에 유의한다.