Brave, 퍼플렉시티 AI 브라우저 '코멧'서 인증코드 탈취 취약점 발견

긴 글을 읽기 귀찮을 때 AI 브라우저에 웹페이지 요약을 맡기는 일은 흔한 일상이 되었다. 하지만 자율적으로 웹을 탐색하는 AI 에이전트 환경에서 이 가벼운 클릭 한 번은 내 계정의 열쇠를 해커에게 통째로 넘겨주는 치명적인 결과를 낳을 수 있다.

브레이브(Brave) 보안팀은 퍼플렉시티(Perplexity)의 AI 브라우저 확장 기능인 코멧(Comet)에서 심각한 간접 프롬프트 주입(Indirect Prompt Injection) 취약점을 발견했다고 공개했다. 웹페이지에 교묘하게 숨겨둔 악성 지시어 때문에, 사용자가 요약 버튼을 누르는 순간 AI가 다른 탭에 열려 있는 지메일(Gmail)로 넘어가 일회용 인증코드(OTP)를 탈취해 계정을 탈취하는 시나리오가 입증되었다.

레딧 댓글 하나로 계정을 탈취하는 과정

이 취약점의 핵심은 거대언어모델(LLM) 기반 브라우저의 고질적인 설계 결함에 있다.

사용자가 코멧에 특정 웹페이지 요약을 요청하면, 코멧은 페이지 내 텍스트를 LLM에 전달하면서 사용자의 실제 명령어와 웹페이지의 신뢰할 수 없는 콘텐츠를 제대로 구분하지 못한다. LLM 관점에서는 모든 텍스트가 하나의 토큰 흐름으로 합쳐지기 때문에, 웹페이지 속 악성 명령을 사용자의 정당한 지시로 착각해 곧바로 실행에 옮긴다.

브레이브의 아르템 차이킨(Artem Chaikin) 보안 엔지니어가 공개한 개념 증명(PoC)은 매우 구체적이다. 공격자는 레딧(Reddit) 게시물 댓글에 스포일러 방지 태그를 씌워 악성 프롬프트를 숨겨 두었다.

피해자가 이 게시물을 방문해 코멧의 웹페이지 요약 버튼을 클릭하자, AI는 숨겨진 지시어를 읽어 들이고 사용자가 눈치채지 못하게 백그라운드에서 움직였다. 먼저 퍼플렉시티 계정 설정 페이지로 이동해 사용자의 이메일 주소를 확인한 뒤, 로그인 엔드포인트로 이동해 일회용 인증코드 발송을 트리거했다.

기존 인증 상태를 우회하기 위해 도메인 끝에 마침표를 붙인 변형 주소로 접근하는 치밀함도 보였다. 이어 AI는 이미 로그인되어 있던 피해자의 지메일 탭으로 접근해 방금 도착한 인증코드를 읽어 냈고, 이메일 주소와 인증코드를 원래 레딧 댓글의 답글로 남겨 공격자에게 전송했다. 사용자는 단지 요약 버튼을 한 번 눌렀을 뿐인데, 퍼플렉시티 계정이 순식간에 공격자 손에 넘어간 것이다.

패치를 내놓아도 뚫리는 보안의 벽

웹 보안은 수십 년간 동일 출처 정책(SOP)을 기반으로 서로 다른 사이트 간의 무단 데이터 접근을 차단해 왔다. 하지만 사용자 권한을 그대로 위임받아 실행되는 AI 브라우저 에이전트 앞에서는 이 방벽이 완전히 무력화된다.

브레이브는 2025년 7월 25일 이 문제를 퍼플렉시티 측에 제보했다. 퍼플렉시티는 이틀 만에 초기 조치를 취했으나 패치는 불완전했다. 추가 수정을 거쳐 8월 13일 해결된 것으로 보여 8월 20일 세부 내용이 공개되었지만, 공개 직후 추가 테스트에서 여전히 유사한 공격이 유효한 것으로 드러나 재보고되는 촌극이 빚어졌다.

유명 보안 연구자 사이먼 윌리슨(Simon Willison)은 코멧에 난 보안 구멍을 두고 "트럭이 지나갈 수 있을 만큼 거대하다"고 꼬집었다. 아울러 브레이브 역시 자체 AI 비서 레오(Leo)에 유사한 자율 브라우징 기능을 탑재하려 준비 중인 점을 지적하며, 프롬프트 주입은 지난 3년간 그 누구도 근본적으로 해결하지 못한 난제라고 짚었다. 해커뉴스(Hacker News) 커뮤니티에서도 이 문제가 단기간에 해결되기 어렵다는 인식이 개발자들 사이에 빠르게 퍼지고 있다.

왜 중요한가

우리는 이번 사례가 현재 불붙고 있는 에이전트 브라우저 경쟁의 위험한 민낯을 드러냈다고 판단한다.

일반 사용자 입장에서의 결론은 단순하다. 금융, 업무, 개인 이메일 로그인이 유지된 주력 브라우저 환경에서 AI 에이전트에게 자율 브라우징을 허용해서는 안 된다. 글을 빠르게 훑어보기 위해 아낀 몇 초의 대가로 내 모든 디지털 인증 권한을 위험에 빠뜨릴 수는 없다.

산업 측면에서도 깊은 성찰이 필요하다. 기존 웹 브라우저는 엄격한 샌드박스와 권한 격리를 통해 보안을 유지해 왔지만, 지금의 AI 브라우저는 '데이터'와 '실행 코드'조차 구별하지 못하는 언어모델에 전적인 통제권을 쥐여주고 있다.

브레이브가 선제적으로 타사 결함을 지적한 점은 유의미하지만, 브레이브가 제시한 대안 역시 모델 레벨의 정렬에 의존하는 한 완벽한 방패가 되기는 어렵다. 민감한 작업에 대한 물리적 사용자 확인과 철저한 격리 샌드박스가 시스템 레벨에서 전제되지 않는다면, 편리함을 앞세운 AI 에이전트는 웹 생태계 최악의 트로이 목마가 될 수밖에 없다.