마이크로소프트 코파일럿, 문서 기반 'AI 웜' 취약점 노출… 프롬프트 인젝션 통한 자가 복제 및 데이터 조작 위험

마이크로소프트(MS)의 대표적인 AI 생산성 도구인 '코파일럿 포 워드(Copilot for Word)'에서 프롬프트 인젝션을 활용해 문서 간에 스스로를 복제하고 전파하는 'AI 웜(AI Worm)' 취약점이 발견되었습니다. 보안 연구원 호콘 몰로이(Håkon Måløy)가 마이크로소프트 보안 응답 센터(MSRC)와의 공동 조사를 통해 공개한 이번 취약점은 일반적인 문서 협업 워크플로우를 타고 기업 내부망으로 은밀하게 확산될 수 있어 AI 시스템의 신뢰성에 큰 경종을 울리고 있습니다.

연구원이 공개한 교차 도메인 프롬프트 인젝션 공격(XPIA) 시나리오에 따르면, 공격자는 신뢰할 수 없는 외부 문서의 본문 끝부분에 흰색 글씨(배경색과 동일한 색상)로 악성 프롬프트를 숨겨둡니다. 일반 사용자는 이 텍스트를 볼 수 없지만, 코파일럿 포 워드는 텍스트의 서식을 제거한 상태로 거대언어모델(LLM)에 전달하기 때문에 감춰진 악성 지시사항을 그대로 읽고 실행하게 됩니다. 예를 들어 사용자가 해당 외부 문서를 참조하여 신규 재무 보고서 초안을 작성해 달라고 코파일럿에 요청하면, 코파일럿은 지시사항에 따라 본문 내의 숫자를 임의로 수정(예: 재무 수치 반토막)하는 동시에, 해당 문서 하단에 자신을 복제하는 악성 프롬프트를 똑같이 흰색 글씨로 삽입합니다.

이로 인해 새롭게 생성된 문서 역시 또 다른 '공격 매체'로 돌변하게 됩니다. 사용자는 코파일럿이 작성한 그럴듯한 보고서를 신뢰하고 내부 공유 폴더나 원드라이브(OneDrive)에 저장하게 되며, 동료 직원들이 해당 보고서를 다시 코파일럿의 참조 문서로 사용할 경우 공격은 다음 문서로 계속해서 전파됩니다. 특히 최신 코파일럿의 경우 사용자가 파일을 직접 첨부하지 않더라도 원드라이브 내의 관련 문서를 검색하여 자동으로 맥락에 포함하기 때문에, 공격용 문서가 조직 전체로 확산되는 속도와 범위는 통제하기 어려울 정도로 빨라질 수 있습니다.

보안 연구원은 2026년 3월 마이크로소프트에 이 취약점을 최초 보고한 이후 144일간의 공동 조율 과정을 거쳤습니다. 마이크로소프트 측은 새로운 '코파일럿으로 편집(Edit with Copilot)' 기능을 출시하고 사용 모델을 GPT-5.5에서 GPT-5.6으로 업그레이드하는 등 다양한 완화 조치를 적용했으나, 변형된 페이로드를 통한 AI 웜의 자가 복제 및 데이터 조작 공격을 완벽히 차단하는 데는 실패했습니다. 결국 취약점이 완전히 해결되지 않은 상태에서 조율된 공개 기한이 만료됨에 따라 방어자들에게 위험성을 경고하기 위해 클래스 수준에서의 취약점 공개가 결정되었습니다.

연구원은 이번 취약점이 단일 제품의 문제가 아니라 현재 LLM 아키텍처가 가진 근본적인 한계에서 비롯된다고 분석했습니다. LLM은 외부 데이터를 읽고 해석하는 과정과 시스템적인 명령(의도)을 실행하는 과정을 명확히 구분하지 못하기 때문에, 입력 정보 내에 숨어 있는 지시사항에 취약할 수밖에 없습니다. 이에 따라 현재로서는 외부 유입 문서를 코파일럿의 참조 자료로 쓸 때 각별히 주의하고, 코파일럿이 생성하거나 편집한 결과물은 공유하기 전에 수작업으로 꼼꼼히 재검토하는 것 외에는 확실한 대응책이 없는 실정입니다.