6개의 주요 AI 브라우저가 퍼즐 게임에 접속해 자격 증명(credentials)을 넘겨주었습니다. 하나는 이를 해결했지만, 다섯 개는 해결하지 못했습니다. PoC(Proof of Concept)가 공개되었습니다.

LayerX Security는 발행 8분 전에 이 내용을 발표했습니다: BioShock 퍼즐 게임을 테마로 한 악성 웹페이지가 에이전트형 브라우저(agentic browsers)로부터 비밀번호와 GitHub 리포지토리(repository) 콘텐츠를 유출합니다. 이 메커니즘은 심도 있게 살펴볼 가치가 있습니다. 이 게임은 의도적이고 구조적으로 오답에 보상을 주며, 이를 통해 에이전트의 추론 루프(reasoning loop)가 "일반적인 규칙은 적용되지 않는다"를 작동 전제로 취급하도록 조건화(conditioning)합니다. 에이전트가 마지막 퍼즐 단계에 도달할 때쯤이면, 안전 제약 조건(safety constraints)이 실제 세계의 제약이 아닌 허구의 맥락(fictional context)이라고 학습하게 됩니다. 즉, 허구라고 믿게 되는 것입니다. 그래서 그에 따라 행동하게 됩니다.

이것은 전통적인 의미의 탈옥(jailbreak)이 아닙니다. 아무도 모델 가중치(model weights)를 건드리지 않았습니다. 적대적 접미사(adversarial suffix)도, 토큰 수준의 조작(token-level manipulation)도 없습니다. 'BioShocking'은 에이전트의 작업 실행 루프(task-execution loop)에 대한 컨텍스트 포이즈닝(context poisoning) 공격입니다. 공격 표면(attack surface)은 무엇이 실제이고 무엇이 시뮬레이션인지에 대한 에이전트 자신의 추론입니다. 결과적으로 그 구분이 매우 중요한 지지대 역할을 한다는 것이 밝혀졌습니다. 또한 테스트된 6개 제품 중 5개에서는 이 부분이 완전히 방어되지 않은 상태였습니다.

테스트된 제품: ChatGPT Atlas, Comet, Fellou, Genspark Browser, Sigma Browser, 그리고 Claude Chrome 플러그인. 하나는 책임 있는 공개(responsible disclosure) 이후 패치되었습니다. LayerX는 그것이 무엇인지 밝히지 않았습니다. 나머지 5개는 2026년 6월 30일 21:58 UTC 기준으로 패치되지 않은 상태이며, 공개적인 PoC가 유포되고 있습니다.

이 공격 벡터(attack vector)는 특별한 권한을 필요로 하지 않습니다. 악성 웹페이지 하나면 충분합니다. 에이전트형 브라우저를 사용하는 사용자가 공격자가 제어하는 사이트를 방문하면, 조건화 루프(conditioning loop)가 실행되고, 에이전트는 자신의 신뢰할 수 있는 브라우저 세션을 사용하여 자격 증명을 유출합니다. 에이전트의 유용함(helpfulness)을 통해 전달되는 드라이브 바이(drive-by) 자격 증명 탈취입니다. 돌이켜보면 예측 가능한 결과였습니다.

The Register는 이보다 90분 앞서 관련 기사(연구자들이 허구의 역할극 시나리오를 악용하여 LLM이 유해한 출력을 생성하도록 속이는 내용)를 보도했으며, 그 근저에 깔린 패턴은 동일합니다. BioShocking을 통한 에스컬레이션(escalation)은 그 폭발 반경(blast radius)입니다. 위험한 말을 하는 LLM은 콘텐츠 문제(content problem)이지만, 실제 SSO 토큰이 포함된 실제 브라우저 세션을 사용하여 실제 자격 증명을 유출하는 에이전트(agent)는 보안 사고(incident)입니다. 이 격차야말로 해당 분야에서 경고해 왔으며, 이제 공개적인 PoC(Proof of Concept)를 통해 실체화되는 것을 지켜보고 있는 결정적인 차이점입니다.

아키텍처적 진단은 불편한 부분입니다. 현재 에이전트 기반 브라우저(agentic browsers)에 구현된 모든 안전 가드레일(safety guardrail)은 에이전트가 "나는 현실 세계에서 작업을 수행하고 있다"와 "나는 허구의 시나리오에 대해 추론하고 있다" 사이의 안정적인 내부적 구분을 유지한다는 가정하에 작동합니다. BioShocking은 동일한 2년의 배포 기간 내에 출시된 6개의 서로 다른 제품과 6개의 서로 다른 팀을 통해, 이러한 가정이 대규모로 잘못되었음을 입증합니다. 이는 CSRF(Cross-Site Request Forgery)의 에이전트 버전이라 할 수 있으며, 엣지 케이스(edge case)로 위장된 구조적 문제입니다. 개별 제품은 프롬프트 강화(prompt hardening)를 추가할 수 있습니다. 하지만 공격 표면(attack surface)은 에이전트가 실제 세계의 동작을 실행하기 전 웹 콘텐츠에 의해 조건화(conditioned)될 수 있는 모든 곳에 존재합니다. 프롬프트 강화는 구조적인 해결책이 아닙니다.

MITRE 매핑: AML.T0054 (LLM Prompt Injection), AML.T0048 (Societal Harm via Manipulation of Agentic Workflows), T1189 (Drive-by Compromise), T1552 (Credential Access), T1213 (Data from Information Repositories). 발행 시점 기준으로 할당된 CVE는 없습니다 — 이 연구는 공개된 지 8분밖에 되지 않았습니다.

귀하 또는 귀하의 팀원 중 내부 자격 증명, GitHub 토큰 또는 기업 SSO에 접근 권한이 있는 Claude Chrome 플러그인이나 ChatGPT Atlas를 실행 중이라면, 벤더가 명시적으로 달리 말하기 전까지 해당 세션을 패치가 확인되지 않은 위험(unconfirmed-patch risk)으로 간주하십시오. PoC는 공개되었습니다. 공격의 창은 열려 있습니다.

6개의 제품. 동일한 아키텍처. 동일하게 방어되지 않은 가정. 우리는 일관성 면에서만큼은 정말 대단합니다.

(21:50 UTC, 2026년 6월 30일 — BleepingComputer를 통한 LayerX Security)