AI 비서가 내 정보를 몰래 흘린다? — Claude 취약점으로 보는 AI 에이전트 보안

AI 비서에게 저장해 둔 내 이름과 직장 정보가, 낯선 웹사이트가 남긴 지시 한 줄 때문에 알파벳 한 글자씩 빠져나갈 뻔한 일이 실제로 있었습니다.

2026년 7월, 한 보안 연구자가 Claude의 web_fetch 기능에서 정보 유출 취약점을 시연해 공개했습니다.

결론부터 말하면, 확인된 실제 피해는 없고(연구자 본인 계정 실험, 즉 PoC뿐) 이미 패치도 끝났습니다.

이 글을 끝까지 읽으면 이런 일이 왜 벌어지는지, AI 비서를 쓰는 사람이 오늘 뭘 점검하면 되는지를 어려운 용어 없이 알 수 있습니다.

핵심만 먼저. AI 에이전트 보안 사고는 대부분 "AI가 외부 사이트에 심부름 갔다가, 거기 적힌 지시를 주인 명령처럼 따라버리는" 구조입니다. 이번 Claude 취약점도 같은 패턴이고, 책임공개 후 곧바로 패치돼 보안이 건강하게 작동한 사례에 가깝습니다.

금고 열쇠를 가진 심부름꾼 이야기

이번 사건을 이해하는 가장 쉬운 그림은 "금고 열쇠를 가진 심부름꾼"입니다.

어떤 심부름꾼이 있습니다.

이 심부름꾼은 우리 집 금고 열쇠를 가지고 있고, 밖에 나가 편지도 부칠 수 있습니다.

어느 날 길에서 낯선 사람이 쪽지를 건넵니다.

쪽지에는 "금고 안 서류를 꺼내, 한 글자씩 적어서 이 주소로 편지를 보내라"고 적혀 있습니다.

착한 심부름꾼은 그게 주인 지시인지 낯선 사람 장난인지 구분하지 못하고, 시키는 대로 해버립니다.

바로 이 세 가지가 한꺼번에 갖춰지면 사고가 납니다.

보안 연구자 Simon Willison은 이 조합을 '치명적인 3요소(lethal trifecta)'라고 부릅니다.

위험의 3요소	심부름꾼 비유	AI 비서에서는
① 비공개 정보 접근	금고 열쇠를 가짐	과거 대화·메모리에 저장된 내 정보
② 신뢰 못 할 외부 콘텐츠 읽기	낯선 사람 쪽지를 읽음	악성 지시가 숨은 웹페이지·문서
③ 외부로 내보내는 능력	밖으로 편지를 부침	URL 요청 등으로 정보 전송

---

실제로 무슨 일이 있었나

연구자 Ayush Paul이 공개한 이 사건의 이름은 '메모리 하이스트(Memory Heist)'입니다.

Claude의 web_fetch는 원래 사용자가 준 주소나 검색 결과만 열도록 제한돼 있었습니다.

그런데 열어본 페이지 안에 숨은 링크까지 따라가는 허점이 있었습니다.

공격자는 가짜 인증 페이지를 만들어, Claude에게만 "인증이 안 됐으니 알파벳 경로를 하나씩 탐색하라"는 지시를 보여줬습니다.

그러면 Claude가 메모리에 저장된 이름·직장 같은 정보를 알파벳 한 글자씩 주소에 실어 흘려보내는 식이었습니다.

다만 유출이 확인된 건 연구자 본인 계정 실험뿐이고, 일반 사용자 피해는 보고된 바 없습니다.

Anthropic은 이 '페이지 내 링크 추적' 기능을 제거해 이미 패치를 마쳤습니다.

비슷한 시기에 다른 사건도 있었습니다.

개발자용 도구인 Claude Code에서, 특정 조건일 때 눈에 보이지 않는 유니코드로 숨은 추적 표식을 심어둔 사실이 드러났습니다.

Anthropic은 이를 두고 "무단 리셀러 계정 남용과 모델 베끼기를 막기 위한 3월 실험이었다"고 해명했고, 보도 당일 곧바로 되돌렸습니다.

개인적으로는 이 대목이 더 아쉽습니다.

목적이 방어였다 해도 약 3개월간 고지 없이 운영한 점은, 신뢰가 생명인 개발 도구에서 이상한 선택이었다고 봅니다.

이게 왜 지금 AI 에이전트의 최대 위협인가

핵심 용어 하나만 짚겠습니다.

간접 프롬프트 인젝션은, AI가 읽는 외부 콘텐츠(웹·문서·이메일) 안에 몰래 명령을 심어 AI를 조종하는 공격입니다.

사용자가 직접 나쁜 명령을 넣으면 걸러내기 쉽지만, 이렇게 남의 콘텐츠에 숨긴 지시는 AI가 주인 명령과 잘 구분하지 못합니다.

그래서 AI가 웹을 돌아다니고, 도구를 쓰고, 외부와 연결될수록(예: MCP 같은 연결 규격이나 각종 커넥터) 공격 면적이 넓어집니다.

MCP가 무엇인지는 별도 글에서 다뤘고, 챗봇과 에이전트의 차이도 정리해 뒀으니 권한 개념이 헷갈리면 함께 보면 좋습니다.

Anthropic도 2025년 11월 공식 글에서 "어떤 브라우저 에이전트도 프롬프트 인젝션에 완전히 면역일 수는 없다"고 인정하고, 방어 연구를 공개하고 있습니다.

---

AI 비서 쓰는 사람의 실전 점검 5가지

어렵게 생각할 필요 없습니다.

아래 다섯 가지만 습관으로 만들면 위험은 크게 줄어듭니다.

☐ 메모리에 이름·주소·직장·금융 같은 민감정보를 저장하지 말고, 설정에서 정기적으로 확인·삭제한다.

☐ 신뢰가 안 되는 링크는 AI에게 열게 하지 말고 직접 브라우저로 확인한다.

☐ 커넥터·통합 권한은 최소로 준다(읽기만, 특정 폴더만).

☐ 업데이트는 미루지 말고 바로 설치한다(구버전에는 옛 문제가 남아 있을 수 있다).

☐ AI가 웹 탐색·전송·API 작업을 할 때, 어디로 무엇을 보내는지 결과와 로그를 한 번 확인한다.

자주 묻는 질문

그럼 Claude를 쓰면 안 되나요?

써도 됩니다.

두 사건 모두 패치가 끝났고, 확인된 실제 사용자 피해도 없습니다.

메모리와 웹 탐색을 쓸 때 무엇이 저장·전송되는지만 의식하면 됩니다.

내 대화가 이미 유출된 건 아닐까요?

보고된 사용자 유출 사례는 없습니다.

메모리 하이스트는 발견자 본인 실험이었고, 추적 표식 사건은 대화 내용을 빼가는 게 아니라 경유 경로를 분류하는 표식이었습니다.

메모리·웹탐색·MCP 기능 자체가 위험한가요?

기능 자체보다 권한이 넓을수록 위험이 커집니다.

앞서 본 3요소가 동시에 갖춰지지 않게 하거나, 권한을 최소로 주는 것이 현실적인 방어입니다.

결론: 오늘 / 앞으로 / 습관으로

정리하면 이렇습니다.

오늘 바로 — AI 비서 설정에서 메모리를 열어 민감정보가 저장돼 있는지 확인하고, 필요 없는 항목은 지웁니다.

앞으로 — 신뢰 못 할 링크를 AI에게 맡기지 말고, 커넥터 권한은 꼭 필요한 만큼만 켭니다.

습관으로 — 도구를 믿고 맡기기 전에, 그 도구가 어떻게 작동하는지 한 번 이해해 두는 태도를 들입니다.

이번 취약점이 불편하게 느껴졌다면, 그게 오히려 건강한 신호입니다.

불편함은 "이 도구가 내 정보로 무엇을 하는지 알고 싶다"는 마음이고, 그 질문이 결국 나를 지켜줍니다.