앤트로픽, 'Claude in Chrome' 정식 출시: 자율 브라우징과 프롬프트 인젝션 방어 탑재

브라우저 안에서 AI 에이전트를 쓸 때 가장 두려운 시나리오는 단순한 클릭 실수가 아닙니다. 웹페이지나 이메일에 숨겨진 악의적 명령어가 AI를 속여 개인 데이터를 외부로 빼돌리는 프롬프트 인젝션 공격입니다.

Anthropic은 8월 26일, 브라우저 확장 프로그램인 Claude in Chrome을 모든 유료 구독 플랜에 정식 출시했습니다. 이번 출시의 핵심은 매 단계마다 사용자의 확인을 받지 않고도 브라우저 작업을 자율적으로 수행할 수 있는 권한을 열었다는 점입니다.

자율 실행을 뒷받침하는 3중 방어선

Claude in Chrome은 공식 API가 없는 사내 대시보드, 레거시 시스템, 협력업체 포털 등에서 Claude를 활용할 수 있도록 돕습니다. 브라우저에 이미 로그인된 상태를 활용해 페이지를 읽고, 링크를 클릭하며, 양식을 작성하고 탭 사이를 이동합니다. 작업 내용은 데스크톱, 모바일, 웹 앱과 실시간으로 동기화됩니다.

에이전트가 사람의 개입 없이 작업을 진행할 수 있도록, Anthropic은 프롬프트 인젝션에 대응하는 세 단계 방어 체계를 구축했습니다.

첫째는 지속적으로 업데이트되는 공격 라이브러리 학습입니다. 내부 자동화 공격 도구와 외부 레드팀, 실제 모니터링을 통해 수집된 공격 패턴을 모델 훈련에 반영해 저항력을 높였습니다.

둘째는 웹 콘텐츠를 모델에 전달하기 전 검사하는 프로브입니다. 도구 호출을 통해 웹페이지나 이메일 내용을 읽어 들일 때, 훈련된 프로브가 잠재적 인젝션 공격을 탐지합니다. 공격 징후가 발견되면 Claude에 경고를 전달해 의심스러운 상태로 다루거나 사용자에게 직접 확인받도록 만듭니다.

셋째는 동작 직전 실행되는 안전 분류기입니다. Claude Code의 자동 모드와 동일한 메커니즘으로 작동하며, 이동하려는 URL이나 입력하려는 텍스트가 사용자의 원래 요청과 일치하는지 대조합니다. 지시와 맞지 않는 동작은 자동으로 차단됩니다. 불안한 사용자는 설정에서 수동 승인 모드로 되돌릴 수 있습니다.

0% 돌파율과 현재의 제약

Anthropic이 공개한 레드팀 테스트 결과에 따르면, 추가 보호 장치가 없을 때도 고강도 공격 성공률은 Opus 4.5의 17.6%에서 Opus 5 기준 3.8%로 감소했습니다.

프로브와 분류기를 모두 활성화한 최신 모델 환경에서는 Claude Sonnet 5, Claude Opus 5, Claude Mythos 5 대상 공격 성공률이 모두 0%를 기록했습니다. Fable 5에서만 0.3%의 공격 성공이 발생했으며, Anthropic은 이 역시 심각도가 낮은 시나리오로 확인되었다고 밝혔습니다.

다만 사용 환경에는 제약이 따릅니다. 현재 확장 프로그램은 구글 크롬에서만 지원되며, 다른 크로미엄 기반 브라우저나 모바일에서는 작동하지 않습니다. 로컬 컴퓨터의 파일 작업에는 여전히 Claude 데스크톱 앱이 필요합니다. 엔터프라이즈 플랜 관리자는 사전에 승인된 도메인으로만 접근을 제한할 수 있습니다.

왜 중요한가

우리는 Anthropic이 에이전트 자율성을 구현하면서 모델 자체의 추론 능력에만 기대지 않고, 외부 프로브와 별도의 의도 분류기를 파이프라인으로 엮은 점을 매우 영리한 접근으로 평가합니다. 신뢰할 수 없는 웹 텍스트가 넘쳐나는 환경에서, 동작 직전에 원래 지시와 비교해 걸러내는 장치가 없으면 자율 브라우징은 실무에 쓰일 수 없습니다.

사용자 관점에서는 API 지원이 없는 수많은 내부 시스템과 업무 포털 사이의 단순 반복 작업을 에이전트에게 맡길 수 있는 실질적인 길이 열렸습니다. 매 클릭마다 승인 버튼을 누르는 피로감 없이 복잡한 웹 폼을 채워야 하는 유료 사용자라면 지금 바로 시험해 볼 가치가 충분합니다.

하지만 프롬프트 인젝션은 공격 기법이 끊임없이 진화하는 분야입니다. 통제된 벤치마크에서 0%를 기록했다고 해서 현실의 모든 변종 공격까지 완벽히 방어한다고 단정할 수는 없습니다. 보안이 중요한 기업 환경이라면 사전에 승인된 도메인 목록을 엄격히 지정해 사용하는 신중함이 필요해 보입니다.