AI가 당신의 로그인 상태로 들어왔습니다 — 브라우저 에이전트가 넘은 선

지난 3주 사이 AI 브라우저 쪽에서 세 가지 일이 있었습니다. 따로 보면 각각 업계 뉴스지만, 날짜를 나란히 놓으면 같은 이야기입니다.

7월 30일, 구글의 Gemini Spark가 당신 컴퓨터의 Chrome을 직접 쓰기 시작했습니다. 8월 3일, 한 보안 연구팀이 주요 AI 브라우저 다섯 종을 대상으로 클릭 한 번 없이 계정을 넘기는 공격 기법을 공개했습니다(이틀 뒤 Black Hat USA에서 발표). 그리고 OpenAI는 전용 AI 브라우저 Atlas를 폐기하고 8월 9일을 작동 중단일로 못박았습니다. OpenAI 자신의 표현은 이렇습니다. “우리는 Atlas를 폐기하고(deprecating), 브라우저 기반 에이전트 기능을 ChatGPT와 Codex로 옮긴다.” 그날 이후로는 “Atlas가 더는 열리거나, 탐색하거나, 브라우저 기반 에이전트 작업을 지원하지 않을 수 있다”고 안내했습니다.

공통점은 이겁니다. AI가 당신을 대신해 브라우저를 쓰는 방식이 “AI 회사가 관리하는 원격 브라우저”에서 “이미 로그인해 둔 당신의 브라우저”로 옮겨 갔습니다. 편의는 확실히 커졌고, 잘못됐을 때의 범위도 같이 커졌습니다.

3주 사이에 일어난 일

세 사건 모두 "AI가 어느 브라우저를 쓰는가"라는 같은 축 위에 있습니다.

날짜	무슨 일	실제로 달라진 것
7월 30일	Gemini Spark, Chrome 자동 브라우징 시작(미국 우선)	구글이 관리하던 원격 브라우저 대신 내 PC의 Chrome을 사용. 로그인된 계정과 저장된 비밀번호에 접근
8월 3일 발표 8월 5일	Zenity Labs, 'PleaseFix' 공개(보도자료) Black Hat USA 2026 브리핑	Claude in Chrome · Gemini in Chrome · Perplexity Comet · ChatGPT Atlas · Copilot Edge 다섯 종에서 무클릭 공격 시연
8월 9일	OpenAI가 못박은 Atlas 작동 중단일	전용 브라우저를 접고 ChatGPT 데스크톱 앱과 Chrome 확장으로 이동. 대체재도 계정 로그인 지원을 내세움

출처: Google 공식 블로그, Zenity Labs 연구 공개, OpenAI 지원 문서.

1. 무엇이 달라졌나 — “회사 브라우저”에서 “내 브라우저”로

Gemini Spark의 새 기능은 이름이 밋밋합니다. Chrome 자동 브라우징. 하지만 구글이 공식 블로그에서 쓴 표현은 분명합니다. Spark가 “로그인된 계정과 저장된 비밀번호를 사용해” 번거로운 웹 심부름을 처리한다는 것입니다. 예로 든 것은 저장해 둔 아파트 매물의 방문 일정을 잡거나, 항공편을 알아보고 예약 절차를 시작하는 일입니다.

Spark는 이전에도 웹을 대신 돌아다녔습니다. 다만 그때는 구글이 관리하는 원격 브라우저를 썼습니다. 구글이 이번 변경을 “로컬 Chrome 사용”으로 설명한 것도 그 대비입니다.

이번 변화의 핵심은 여기입니다. 내 컴퓨터의 Chrome을 쓰면 내가 허용했고 제품이 지원하는 범위 안에서, 이미 로그인해 둔 사이트까지 AI가 들어갈 수 있습니다. 구글의 표현대로 “로그인된 계정과 저장된 비밀번호”를 쓰기 때문입니다.

같은 방향이 OpenAI에서도 확인됩니다. Atlas를 접으면서 OpenAI가 안내한 대체 경로는 ChatGPT 데스크톱 앱인데, 개선점으로 명시한 항목에 “계정 로그인 지원(account login support)”이 들어 있습니다. 전용 브라우저를 만들어 따로 두는 대신, 사용자가 이미 쓰는 로그인 환경 쪽으로 들어오는 선택입니다.

2. 그래서 무엇이 정확히 위험해지나

여기서 흔한 오해를 하나 정리하고 가겠습니다. 위험한 건 “AI가 실수로 엉뚱한 걸 누르는 것”이 아닙니다. 그건 예전부터 있던 문제이고, 확인 절차로 상당 부분 걸러집니다.

새로운 축은 프롬프트 인젝션입니다. AI 에이전트는 웹페이지·메일·문서를 읽어서 판단합니다. 그런데 읽는 내용 안에 “이제부터 이렇게 하라”는 지시를 심어 두면, 에이전트가 그걸 사용자의 지시와 구분하지 못하는 경우가 생깁니다. 공격자는 당신의 컴퓨터를 뚫을 필요가 없습니다. 당신의 AI가 읽을 페이지에 문장 몇 줄을 넣어 두면 됩니다.

Zenity Labs가 8월 3일 공개하고 이틀 뒤 Black Hat USA 2026에서 발표한 PleaseFix가 정확히 이 지점입니다(세션명 「Pwning Agentic Browsers with PleaseFix」). 연구팀의 설명은 이렇습니다. “공격자는 에이전트가 어차피 읽게 되어 있는 콘텐츠 안에 지시를 심는다.” 시연 대상은 Claude in Chrome, Gemini in Chrome, Perplexity Comet, ChatGPT Atlas, Copilot Edge 다섯 종이었습니다. 한 회사 제품의 버그가 아니라 경쟁 관계인 다섯 제품에 공통으로 나타난 취약점입니다. 연구를 이끈 마이클 바그워리(Michael Bargury)는 그 이유를 이렇게 못박았습니다. “이것은 우리가 패치로 없앨 수 있는 버그가 아닙니다. 브라우저는 동일 출처 정책(SOP)에 기대어, 당신이 방문한 임의의 웹사이트가 당신의 로그인된 은행 계정을 쓰지 못하도록 격리합니다.” 에이전트가 그 격리를 가로질러 대신 행동하는 순간, 수십 년간 웹을 지켜 온 칸막이가 사라진다는 뜻입니다.

무서운 부분은 “무클릭”입니다. 사용자가 수상한 링크를 누르거나 무언가를 승인해야 걸리는 게 아닙니다. 받은 메일을 요약해 달라는 평범한 요청 하나로 공격이 시작될 수 있습니다. 메일을 요약하려면 메일을 읽어야 하고, 읽는 순간 심어 둔 지시도 함께 들어오기 때문입니다.

권한이 어디에 놓이느냐가 사고 범위를 정합니다

제품 비교가 아닙니다. 에이전트에게 열어 준 권한 상태별로 사고가 어디까지 번지는지를 봅니다. 같은 제품도 설정에 따라 다른 칸에 놓입니다.

구분	① 입력 전용 챗봇	② 비로그인·저권한 세션	③ 사용자가 허용한 로그인 세션
로그인 상태	없음	없거나 일회성	내 계정 그대로
닿는 범위	내가 붙여넣은 내용	로그인 없이 열리는 페이지	내가 허용한 로그인 사이트
할 수 있는 것	글로 답하기	읽기·조회 위주	보내기 · 공유 · 설정 변경 결제 등 민감 조치는 제품·승인 설정에 따라 사용자에게 되돌아옴
공격 진입로	내가 넣은 내용	방문한 페이지	메일 · 문서 · 게시물 등 읽는 모든 것
사고 시 범위	잘못된 답변	잘못된 정보 수집	계정 · 데이터 · 금전

③으로 갈수록 할 수 있는 일과 잘못됐을 때의 범위가 함께 커집니다. ①②③은 제품 등급이 아니라 권한 상태이며, 같은 제품도 사용자가 어디까지 허용했는지에 따라 칸이 바뀝니다. ③에서도 결제처럼 민감한 조치는 제품이 사용자에게 되돌리도록 설계될 수 있습니다 — 구글은 Spark에서 결제를 그렇게 처리한다고 밝혔습니다. 이번 여름 Spark의 변경은 기본 자리를 ②에서 ③으로 옮긴 사례입니다.

3. 실제로 야생에서 벌어지는 일 — “Stop Claude”

이론적인 이야기로 들릴 수 있으니 실제 사례를 하나 보겠습니다.

한 사용자가 Claude 브라우저 기능으로 미국 공항 기상 정보를 조회했습니다. 그런데 미 정부 기관의 기상 API 응답 안에 “Stop Claude”라는 문구가 들어 있었습니다. AI는 이걸 그냥 넘기지 않고 사용자에게 이렇게 보고했습니다. 응답에 삽입된 문구를 발견했고, “이것은 데이터 피드에 심어진 프롬프트 인젝션 공격이며, 무시하고 정상적으로 기상 정보를 제시하겠다”는 것이었습니다. 여러 공항에서 반복적으로 재현됐습니다.

이 사례에서 볼 것은 두 가지입니다.

첫째, 평범한 조회에도 이런 문구가 섞여 들어온다는 사실입니다. 수상한 사이트를 찾아가야 만나는 게 아닙니다.

둘째, 방어가 작동했다는 사실입니다. AI가 그 문구를 지시가 아니라 데이터로 취급하고 사용자에게 알렸습니다.

다만 이 한 건은 안심의 근거가 되지 못합니다. 같은 주에 공개된 연구가 보여준 것이 정확히 그 반대이기 때문입니다 — 바로 그 방어를 우회하는 경로가 다섯 제품 모두에 있었습니다. 걸러진 사례는 눈에 보이고, 걸러지지 않은 사례는 보이지 않습니다.

4. 방어는 실재하지만, 완성되지 않았습니다

만드는 쪽도 이 문제를 알고 있고 실제로 조치를 넣어 두었습니다.

Anthropic은 Claude 브라우저 확장을 처음 공개하면서(2025년 8월) 완화 조치 전후 수치를 함께 냈습니다. 의도적 공격에 대한 성공률이 23.6%에서 11.2%로 낮아졌고, 브라우저 특화 공격 세트에서는 35.7%에서 0%로 떨어졌습니다. 다만 이 수치는 2025년 공개 당시 값이고, 이후 제품과 공격 기법이 모두 달라졌다는 점을 감안해 읽어야 합니다.

구조적인 차단도 있습니다. Anthropic은 금융 서비스, 성인 콘텐츠, 불법 복제 사이트 같은 고위험 범주에서는 아예 동작하지 않게 막아 두었습니다. Google도 Spark에 프롬프트 인젝션 대응을 넣었고, 결제 같은 민감한 작업은 작업을 사용자에게 되돌려주는 방식으로 처리한다고 밝혔습니다.

그러나 이번 연구가 보여준 것은 이 조치들이 아직 충분하지 않다는 점입니다. Zenity는 발표에 앞서 Anthropic·Perplexity·구글·마이크로소프트·OpenAI 다섯 곳에 미리 알렸고, 반응은 갈렸습니다. 일부는 패치를 냈고, 일부는 수정을 거부하며 “의도된 기능”이라고 답했습니다. 패치를 낸 쪽도 완전하지 않았습니다. Perplexity가 파일 시스템 취약점을 패치하자 연구팀은 그 수정을 두 차례 우회했고, 연구팀은 이를 두고 “이런 에이전트를 가두려고 세운 단단한 경계조차 유지하기 어렵다는 신호”라고 적었습니다.

여기서 더 중요한 건 이 문제의 성격입니다. 프롬프트 인젝션은 코드 한 줄을 고쳐서 막는 종류의 버그로 보기 어렵습니다. “웹 내용을 읽고 그에 따라 행동한다”는 기능 자체가 공격면이기 때문입니다. 영국 국가사이버보안센터(NCSC)는 그 이유를 이렇게 설명합니다. SQL 주입은 데이터와 명령을 분리해 막을 수 있지만, 언어 모델 내부에는 ’데이터’와 ’명령’의 구분이 없고 오직 ’다음 토큰’만 있다는 것입니다. 그래서 NCSC는 프롬프트 인젝션이 SQL 주입처럼 완전히 해소되지는 못할 수 있다고 보고, 은탄환을 찾는 대신 안전한 설계에 집중하라고 권고합니다. PleaseFix 연구팀의 결론도 같은 자리를 가리킵니다 — 패치로 없앨 수 있는 버그가 아니라는 것입니다.

5. 그래서 오늘 무엇을 할 것인가

쓰지 말라는 이야기가 아닙니다. 실제로 시간을 아껴 주는 기능이고, 방향은 이미 정해졌습니다. 다만 권한을 어디까지 열어 둘지는 지금 정해 두는 편이 낫습니다.

첫째, “항상 허용”을 습관으로 만들지 마십시오. Anthropic 공식 안내는 사이트별 권한에서 “이 작업만 허용”과 “이 사이트에서 항상 허용”을 구분하고, 1회 허용을 가장 안전한 선택으로 명시합니다. 매번 묻는 게 번거로워 “항상 허용”을 누르게 되는데, 그 순간부터는 그 사이트에서 벌어지는 일을 확인 없이 넘기게 됩니다. 완전히 신뢰하는 사이트에만 쓰십시오.

둘째, 돈과 신원이 걸린 곳은 열지 마십시오. 인터넷뱅킹, 증권, 결제 수단이 등록된 쇼핑몰, 관공서 사이트가 여기 해당합니다. 시간을 아껴 주는 폭보다 사고 시 손실이 훨씬 큽니다. 조직에서 쓴다면 Teams·Enterprise 관리자 설정으로 허용 목록을 좁게 잡는 방식이 권장됩니다. 막을 사이트를 하나씩 지정하는 것보다, 쓸 사이트만 열어 두는 편이 안전합니다.

셋째, 요약을 시킬 때를 특히 조심하십시오. 역설적이지만 가장 무해해 보이는 요청이 가장 위험합니다. 요약은 상대가 쓴 내용을 그대로 읽어 들이는 작업이기 때문입니다. 출처를 모르는 메일이나 문서는 에이전트 모드가 아니라 읽기 전용으로 다루는 편이 낫습니다.

Atlas를 쓰고 있었다면 하나 더 있습니다. OpenAI 안내에 따르면 북마크·열린 탭·방문 기록은 자동으로 옮겨지지 않고, 쿠키와 로그인 세션은 다른 브라우저로 가져올 수 없습니다. 그리고 OpenAI는 쿠키와 세션 파일을 민감 정보로 취급하라고 명시했습니다. 실제로 그 파일 하나면 로그인 상태가 그대로 넘어갑니다. 옮기려다 오히려 흘리기 쉬운 지점입니다.

6. 정리

지난 3주 사이에 일어난 일은 새 모델이 나온 사건이 아닙니다. AI가 일하는 자리가 옮겨진 사건입니다. AI 회사가 관리하던 임시 브라우저에서, 여러분이 매일 로그인해 쓰는 브라우저 쪽으로요. 모든 제품이 한꺼번에 옮겨 갔다는 말은 아닙니다. 다만 이번에 확인된 것들은 같은 방향을 가리켰습니다.

그 자리는 훨씬 유용합니다. 로그인해야 볼 수 있는 것이 인터넷의 대부분이니까요. 동시에 그 자리는 여러분의 계정이 있는 자리이기도 합니다.

판단 기준은 하나면 충분합니다. “이 사이트에서 AI가 나 대신 실수하면, 내가 감당할 수 있는가.” 감당할 수 있으면 열고, 아니면 닫아 두십시오. 지금은 그 선을 각자 정해 두어야 하는 시기입니다.

참고 자료