Originally published on The AI Prism

첫 번째 AI 웜은 더 이상 가설이 아닙니다.

다음 상황을 상상해 보세요. 당신은 중견 기업의 분석가입니다. 신뢰하는 산업 웹사이트에서 시장 분석 자료를 다운로드하여 Word에서 작성 중인 재무 보고서의 출처 자료로 사용합니다. 그리고 Copilot에게 핵심 수치를 추출하고 문서를 구성하도록 요청합니다.

다운로드된 자료 어딘가에, 흰 페이지 위의 흰 텍스트로 숨겨진, 당신이 본 적 없는 일련의 지침이 있습니다. 하지만 Copilot은 그것을 읽어냅니다. 마치 이것이 당신의 요청 일부인 것처럼 취급하며, 보고서 내부의 숫자를 조용히 변경하고, 동일한 숨겨진 지침을 완성된 문서에 첨부합니다. 이는 다음 사람을 위한 신선한 매개체 역할을 합니다.

당신은 보고서를 저장하여 내부적으로 공유합니다. 동료가 이를 자신의 문서 출처 자료로 사용합니다. 그러면 그 지침들이 다시 발동됩니다. 이 공격은 악성코드(malware), 매크로, 익스플로잇(exploit) 없이, 그리고 보안 스택이 포착할 수 있는 시그니처(signature) 없이, 당신의 조직을 문서마다 이동하며 계속 진행합니다.

첫 번째 AI 웜은 더 이상 가설이 아닙니다. 이미 일반적인 Word 워크플로우를 통해 기어 다니고 있습니다. 이번 주에 보안 연구원 Håkon Måløy가 Microsoft Copilot for Word에서 이것이 정확히 어떻게 작동하는지 보여주는 상세 기술 글을 발표했습니다. 이 이야기는 하루 만에 Hacker News에서 [380점과 294개의 댓글]을 기록했으며, Malwarebytes가 48시간 내에 이를 다루었습니다. 이것이 의미하는 바는 다음과 같습니다.

공격: 흰 텍스트, 시그니처 없음

이 기술은 거의 놀라울 정도로 간단합니다. — 바로 그것이 위험한 이유입니다.

공격자는 Word 문서 내의 흰색 배경 위에 JSON 형식의 프롬프트 (Prompt)를 흰색 텍스트로 숨깁니다. 사람에게 이 문서는 정상적으로 보입니다. 하지만 Copilot에게 이 텍스트는 문서 콘텐츠의 또 다른 일부일 뿐입니다. 이 파일이 초안 작성이나 편집 작업의 소스 자료 (Source material)로 첨부되면, Copilot은 서식을 제거하고 숨겨진 텍스트를 읽어 들여, 내장된 지침을 사용자의 요청 일부로 해석합니다.

이 지침은 Copilot이 두 가지 일을 동시에 수행하게 만들 수 있습니다. 즉, 작성 또는 편집 중인 문서를 조작하는 것과, 악성 프롬프트 전체를 숨겨진 텍스트로서 새 문서에 다시 복사하는 것입니다. 그렇게 생성된 출력 문서는 새로운 매개체 (Carrier)가 됩니다. 다음에 누군가가 이 문서를 소스 자료로 사용하는 순간, 이 사이클은 반복됩니다.

실행할 페이로드 (Payload)도 없고 탐지할 바이너리 (Binary)도 없습니다. 이 "감염"은 정당한 도구를 사용하는 정당한 사용자에 의해 생성되었기 때문에 합법적으로 보이는 문서 그 자체입니다. 연구자의 사례는 내부 수치가 몰래 변경된 재무 보고서였습니다. 이는 숫자가 맞지 않아 몇 주가 지난 후에야, 혹은 영영 발견되지 않을 수도 있는 종류의 편집입니다.

전파 벡터 (Propagation vector)는 바로 여러분의 인프라입니다: SharePoint, Teams, Outlook, 또는 동료 간에 문서가 공유되는 그 어떤 방식이든 해당됩니다. 공격자는 단 하나의 오염된 문서를 단 한 명의 직원에게 전달하기만 하면 됩니다.

형체 없는 웜 (A Worm Without a Body)

이것을 웜 (Worm)이라고 부르는 것이 타당할까요? 기술적으로는 그렇습니다. 그리고 그 정의가 중요합니다.

웜은 자기 복제 (Self-propagates)를 하는 멀웨어 (Malware)입니다. 즉, 초기 트리거 (Trigger) 이후에는 인간의 개입 없이 스스로 복제하고 확산됩니다. 이 공격은 정확히 그렇게 작동합니다. 문서 하나가 둘이 되고, 둘이 열 개가 됩니다. 복제는 Copilot의 정상적인 작동 과정 내부에서 일어나며, 공격자는 첫 번째 문서가 전달된 이후에는 존재할 필요가 없습니다.

이것이 첫 번째 AI 웜은 아닙니다. 2024년, 연구원 Ben Nassi, Stav Cohen, Ron Bitton은 생성형 AI (GenAI) 기반 이메일 어시스턴트를 통해 확산되는 자기 복제형 프롬프트 인젝션 (Prompt Injection)인 Morris II를 시연했습니다. 그들의 논문 부제는 이것의 정체를 명확히 불렀습니다: 제로 클릭 웜 (zero-click worm). 오염된 메시지를 여는 것 외에 사용자의 어떠한 조치도 필요하지 않았습니다. 하지만 Måløy가 언급했듯이, 이번 연구는 주류 상용 생산성 제품군 (Productivity Suite)의 일반적인 워크플로를 통해 자기 전파되는 문서 기반 AI 웜을 공개적으로 시연한 최초의 사례 중 하나입니다. 연구용 샌드박스가 아닙니다. Word입니다. 10억 명 이상의 사람들이 업무를 위해 사용하는 도구입니다.

The Hacker News 스레드에서는 당연하게도 역사적인 비교가 이어졌습니다: “VBScript/매크로 웜의 재림이다!” 이러한 유사점은 실재하지만, 차이점이 더 중요합니다. 매크로 웜은 코드 실행 (Code Execution)이 필요했습니다. 이는 시그니처 (Signature), 휴리스틱 (Heuristics), 샌드박싱 (Sandboxing)이라는 과거의 군비 경쟁을 불러왔습니다. 하지만 이 웜은 텍스트만 필요로 합니다. 아무것도 실행하지 않습니다. 단지 사용자의 지시와 공격자의 지시를 구분하지 못하는 시스템에 확산을 _요청_할 뿐입니다.

144일간의 두더지 잡기 게임

이 이야기에서 가장 치명적인 부분은 공격 그 자체가 아닙니다. 바로 타임라인입니다.

Måløy는 2026년 3월 6일에 Microsoft 보안 응답 센터 (MSRC)에 해당 취약점을 보고했습니다. Microsoft는 3월 31일에 해당 동작을 확인하고 완화 (Mitigation) 작업을 시작했습니다. 그 이후에 일어난 일은 다음과 같습니다:

• 4월 3일: 첫 번째 완화 조치 배포 — 새로운 “Copilot으로 편집 (Edit with Copilot)” 환경.

• 4월 9일: 기존 공격 프롬프트가 완화되었음을 확인. 이후 연구자가 다른 프롬프트를 사용하여 새로운 환경에서 공격을 재현했으며, 이번에는 재무 정보를 조작했습니다. 별도의 사례로 보고되었습니다.

• 6월 8일: Microsoft의 요청에 따라, 공개 공개 (Public Disclosure)가 7월 15일로 연기되었습니다.

• 7월 14일: 두 번째 완화 조치 배포 — 기반 모델인 GPT-5.5로의 업그레이드.

• 7월 15일: 연구자는 현재 사용 가능한 최신 모델인 GPT-5.6에서 전체 웜 체인(worm chain)을 재현하는 데 성공했습니다. 그는 공개를 2주 더 연기할 것을 제안합니다.

• 7월 28일: 해당 공격 클래스가 여전히 재현됩니다. 조정된 공개(Coordinated disclosure)가 이루어집니다 — 최초 보고 이후 144일이 지난 시점입니다.

다시 한번 읽어보십시오. 모델 업그레이드를 포함한 두 번의 완화 조치(mitigations)가 있었음에도 해당 취약점 클래스는 두 번 모두 살아남았습니다. 발표 당시 Microsoft의 자체 상태 보고는 냉혹합니다: 해당 취약점 클래스 전반에 대한 강력한 완화 조치는 현재 사용할 수 없으며, 고객 측의 해결책(remediation) 또한 문제를 완전히 해결하지 못합니다.

이것이 바로 두더지 잡기식 방어(whack-a-mole defense)가 어떤 모습인지 보여주는 사례입니다. 여기서 두더지는 버그가 아니라 아키텍처적 특성(architectural property)입니다.

AI에 대한 신뢰 비용 (The Trust Tax on AI)

이 이야기에는 더 조용한 희생자가 있으며, 이는 AI 어시스턴트에 의존하기 시작한 모든 조직에 타격을 줍니다. 바로 신뢰입니다.

프롬프트 인젝션 (Prompt injection)은 2023년 OWASP LLM 애플리케이션 Top 10 리스트의 첫 번째 에디션이 나온 이후 줄곧 1위 자리를 지켜왔습니다. 보안 전문가들은 이러한 공격 클래스가 다가오고 있다는 것을 수년 전부터 알고 있었습니다. 이는 2023년 Bing Chat을 대상으로, 2023년 ChatGPT 플러그인을 대상으로, 그리고 2024년 이메일 어시스턴트를 대상으로 시연되었습니다. 시연은 점점 더 실용적으로 변해갔고, 업계는 점점 더 광범위한 권한을 가진 어시스턴트들을 계속 출시했습니다. 이 Word 웜은 그러한 궤적이 항상 향하고 있었던 종착지입니다.

그 결과, 모든 AI 지원 워크플로우에는 비용(tax)이 발생합니다. 보고서가 Copilot을 거쳤다면, 당신은 그 숫자가 원본 문서에서 온 것인지 — 혹은 당신이 읽고 있는 문서가 타인의 지시 사항을 전달하는 매개체(carrier)가 된 것은 아닌지 더 이상 확신할 수 없습니다. 이제 모든 AI 생성 문서에는 이전에는 존재하지 않았던 의문표가 붙게 되었습니다. AI 어시스턴스로 인한 생산성 향상은 실재합니다. 하지만 비즈니스가 운영되는 문서에 이들이 주입하는 새로운 불확실성 또한 실재합니다.

이것이 바로 연구자가 취약점이 여전히 악용 가능한 상태였음에도 불구하고 클래스 수준(class level)에서 공개하기로 결정한 것이 옳았던 이유입니다. 방어자들은 존재 여부조차 모르는 위험을 완화할 수 없습니다. 144일의 타임라인, 두 번의 실패한 완화 조치, 그리고 공개 행위 그 자체는 모두 조직이 문서 흐름의 어느 정도를 에이전트(agent)에게 맡길지에 대해 정보에 기반한 선택을 내릴 수 있게 해주는 정보입니다.

이것이 보안 팀을 두렵게 만드는 이유

보안 팀은 악성 콘텐츠가 특정 형태 — 즉 파일 유형, 시그니처(signature), 또는 행동 패턴 — 를 가지고 있다는 가정하에 지난 20년 동안 방어 체계를 구축해 왔습니다. 하지만 이번 공격은 일반적인 특징을 전혀 가지고 있지 않습니다.

숨겨진 텍스트(Hidden text)는 Word의 정당한 기능입니다. 변경 내용 추적, 메모, 필드 코드(field codes), 그리고 흰색 바탕에 흰색 글씨(white-on-white text)는 일반 사용자들이 매일 사용하는 기능들입니다. 귀사의 보안 스택은 흰색 텍스트가 포함된 .docx 파일을 플래그(flag)로 표시하지 않을 것입니다. 왜냐하면 회사 내 문서의 절반 정도는 아마 그런 형식을 포함하고 있을 것이기 때문입니다. 또한 Copilot에게 "숨겨진 텍스트는 무시해"라고 명령할 수도 없습니다. 숨겨진 콘텐츠가 때로는 사용자가 요약하기를 원하는 바로 그 내용일 수 있기 때문입니다.

더 어려운 문제는 귀속(attribution)입니다. 모든 운반 문서(carrier document)는 정당한 도구 내부에서 정당한 사용자에 의해 생성되고 편집됩니다. 추적해야 할 악성코드 작성자도 없고, 차단해야 할 C2 도메인도 없으며, 배포해야 할 바이너리 해시(binary hash)도 없습니다. 누군가 변조된 수치를 알아차릴 때쯤이면, 해당 문서는 이미 다른 세 팀에 의해 재사용된 후입니다.

한 Hacker News 댓글 작성자는 이 암울한 상황을 기업 버전으로 다음과 같이 표현했습니다: "내 말은, 당신의 모든 데이터는 이미 Copilot으로 유출(exfiltrated)되었으니, 약간의 추가적인 웜(worm) 정도는 해롭지 않다는 뜻입니다." 이 냉소적인 표현 뒤에 숨겨진 불편한 진실은, 조직들이 가장 민감한 문서에 대한 읽기 및 쓰기 권한을 가진 AI 어시스턴트를 배포하고 있는 반면, 해당 어시스턴트들을 위한 보안 모델은 여전히 만들어지는 중이라는 사실입니다.

신뢰 경계(trust boundary)의 실패가 그 근본 원인입니다. Copilot에 문서를 첨부하면 시스템은 정보를 추출하기 위해 해당 문서를 읽지만, 동시에 읽어들인 내용을 명령(instruction)으로 취급합니다. 연구자의 프레임워크는 정확합니다. 첨부된 문서는 신뢰할 수 있는 사용자 명령이 아닌, 신뢰할 수 없는 정보로 취급되어야 합니다. 하지만 오늘날에는 구분 없이 두 가지 모두로 취급되고 있습니다.

근본 원인은 아키텍처에 있습니다

Word 특유의 세부 사항을 걷어내면 업계가 수년 동안 알고 있었던 문제인 프롬프트 인젝션 (prompt injection)에 도달하게 됩니다.

LLM (대규모 언어 모델)은 사용자의 실제 요청, 검색된 문서, 그리고 그 안에 숨겨진 공격자가 제어하는 텍스트 등 모든 것을 위해 하나의 컨텍스트 윈도우 (context window)를 공유합니다. 모델은 "사용자의 명령"과 "소스 자료에서 발견된 명령"을 구분할 수 있는 내재적인 방법이 없습니다. 이것이 아키텍처상의 취약점이며, 이러한 종류의 공격이 패치에도 불구하고 계속 살아남는 이유입니다.

이 연구자의 시리즈 제목은 문자 그대로 "컨텍스트 붕괴 (Context Collapse)"입니다. 1부와 2부에서는 외부 입력이 Copilot의 응답에 어떻게 영향을 미치는지, 그리고 교차 도메인 프롬프트 인젝션 (cross-domain prompt injection)을 통해 어떻게 기밀 데이터를 유출할 수 있는지를 보여주었습니다. 3부에서는 동일한 취약점이 전파를 위해 어떻게 무기화되는지를 보여줍니다. 이 진행 과정이 곧 이야기의 핵심입니다: 데이터를 읽고, 데이터를 변경한 다음, 그 변경 사항을 퍼뜨리는 것입니다. 각 단계는 동일한 근본적 결함을 이용합니다.

Malwarebytes의 보도는 이것이 무엇을 의미하는지에 대해 직설적입니다. 이러한 동작을 악용하는 공격은 "결코 해결되지 않을 수도 있다"는 것입니다. 벤더들이 노력하지 않아서가 아니라 — Microsoft는 분명히 노력하고 있습니다만 — 해결책이 LLM이 신뢰할 수 있는 명령과 신뢰할 수 없는 콘텐츠를 분리하는 방식을 재설계하는 것을 요구하기 때문입니다. 그것은 패치가 아닙니다. 그것은 새로운 아키텍처입니다.

에이전틱 AI (Agentic AI)의 심판

시야를 넓혀보면, 지금이 바로 에이전틱 AI 업계가 두려워해 온 바로 그 순간입니다.

Word용 Copilot은 기능적으로 에이전트 (agent)입니다. 이 에이전트는 목표(“이 보고서 초안을 작성해줘”)를 설정하고, 파일을 읽고, 파일을 쓰며, 사용자의 권한을 가지고 문서 환경 내부에서 동작합니다. 또한 이는 지구상에서 가장 널리 배포된 에이전트이기도 합니다. 만약 Microsoft의 보안 예산, MSRC 프로세스, 144일간의 전담 완화 (mitigation) 작업이 뒷받침된 이 에이전트조차 스스로 전파되는 웜 (worm)으로 변질될 수 있다면, 현재 일어나고 있는 수천 개의 더 작은 에이전트 배포 사례들에 대해서는 무엇을 시사하는 것일까요?

점점 더 명확해지는 답은, 에이전트 안전성 (agent safety)은 나중에 덧붙이는 기능이 아니라, 그 자체가 제품 (product)이어야 한다는 것입니다. 파일 접근 권한, 이메일 접근 권한, 또는 브라우저 접근 권한을 가진 에이전트를 출시하기 위해 경주하는 모든 기업은, 인지 여부와 상관없이 이러한 취약점 클래스 (vulnerability class)를 물려받게 됩니다. 연구자가 페이로드 (payload) 수준이 아닌 클래스 수준에서 이를 공개하기로 선택한 이유는, 방어자가 존재조차 모르는 위험은 완화할 수 없기 때문입니다. 이는 올바른 결정이며, 이 이야기가 업계에 주는 불편한 선물입니다. 즉, 에이전틱 AI (agentic AI)가 오늘날 무엇에 실패하고 있는지를 주류 시장보다 몇 달 앞서 작동하는 데모로 보여준 것입니다.

이러한 에스컬레이션 (escalation) 패턴은 반드시 명명할 가치가 있는데, 왜냐하면 이는 반복될 것이기 때문입니다. 첫째, 에이전트가 신뢰할 수 없는 콘텐츠를 읽습니다 (데이터 유출, data leak). 그다음, 에이전트가 신뢰할 수 없는 지침에 따라 행동합니다 (조작, manipulation). 마지막으로, 에이전트가 신뢰할 수 없는 지침을 새로운 아티팩트 (artifact)로 전파합니다 (웜화, worming). 사다리의 각 단계는 이전 단계보다 탐지하기가 더 어려우며, 각 단계는 이미 출시된 제품들을 대상으로 입증되고 있습니다. 이러한 데모를 홍보 (PR) 문제로 취급하는 기업들은 이 경주에서 계속 패배할 것이며, 이를 아키텍처 피드백 (architecture feedback)으로 취급하는 기업들이 규제의 바닥이 닥쳐왔을 때 여전히 살아남아 있을 것입니다.

당신이 실제로 할 수 있는 일