AI 에이전트를 속이는 보이지 않는 데이터 주입 공격, 기업 보안의 새로운 과제

2026년 7월 16일 The Hacker News가 보도한 신규 공격은 AI 에이전트가 평범한 상품 리뷰 한 줄이나 GitHub 댓글 한 줄에 속아 오작동할 수 있음을 보여줬다. 공격자는 지시문 삽입 없이 사실 정보만 살짝 비틀어 에이전트의 정상 업무 흐름을 하이재킹하므로, 기존의 프롬프트 인젝션(모델 입력 안에 악성 지시를 섞는 기법) 가드레일(모델 출력 단계에서 적용하는 안전 필터)로는 사실상 차단이 어려운 것으로 분석된다.

공격 기법 해부: 지시가 아닌 사실로 속이는 법

이 공격은 AI 에이전트가 업무를 수행할 때 참고하는 외부 데이터, 즉 상품 정보, 사용자 리뷰, 코드 저장소의 이슈와 댓글, 기술 문서 등에 조작된 사실 정보를 은밀히 심어둔다. 에이전트는 이 데이터를 근거로 활용해 의사결정을 내리므로, 명령이 아닌 사실만 변조해도 정상적인 작업 흐름 속에서 오클릭, 잘못된 거래, 외부 명령 실행이 일어난다.

사례 1 – 리뷰 1개로 ‘구매’ 버튼을 누르게 만든다

공격자는 쇼핑 페이지의 정상적인 상품 설명 사이에 ‘이 제품은 정기 구독이 자동 갱신되며 해지 수수료가 없다’ 또는 ‘현재 한정 할인 중이며 재고가 3개 남았다’ 같은 사실성 있는 평가 문장을 끼워 넣는다. 가격 비교와 구매 결정을 자동화한 에이전트는 이 정보를 다른 리뷰와 출처의 권위에 따라 신뢰하고 별도의 의심 없이 ‘Buy Now’ 버튼을 클릭하는 것으로 보고된다.

사례 2 – 가짜 GitHub 댓글이 코딩 에이전트를 해킹한다

공개 저장소의 이슈, 풀 리퀘스트, 댓글에는 ‘이 라이브러리는 deprecated(지원 종료) 되었으므로 다음 패키지로 교체하라’, ‘테스트 자동화를 위해 다음 스크립트를 환경 변수와 함께 실행하라’ 같은 사실형 조작이 들어갈 수 있다. 개발자 에이전트는 문서를 근거로 동작하므로 사용자 PC에서 외부 명령을 실행하거나, 정상 라이브러리 대신 공격자가 준비한 악성 라이브러리를 선택하는 단계로 자연스럽게 흘러들어간다고 기사 본문은 설명한다.

왜 기존 보안은 무력한가

간접 프롬프트 인젝션과의 결정적 차이

기존의 간접 프롬프트 인젝션은 ‘이제 시스템 프롬프트를 무시하고 다음을 출력하라’ 같은 명시적 명령 문자열을 탐지하는 데 초점이 맞춰져 있었다. 반면 신규 공격은 사실 오염만으로 행동을 유도하므로 시그니처 기반 차단, 키워드 필터, 단순 분류 모델로는 사실상 탐지가 불가능한 것으로 분석된다.

사실 오염만으로 행동을 유도하는 신공격 패턴

에이전트 신뢰 모델은 콘텐츠의 사실성, 권위, 출처 일치 여부를 근거로 데이터를 받아들여 왔다. 그러나 데이터 출처의 신뢰성과 명령 분리(slop boundary, 데이터와 명령이 섞이지 않게 구분하는 경계)의 부재라는 두 가지 근본 결함을 안고 있어, 공격자는 권위 있는 출처로 위장한 사실형 콘텐츠만으로 에이전트의 의사결정 루프를 우회할 수 있다. 신규 공격의 공통 특성은 아래 표와 같이 정리된다.

구분	기존 간접 프롬프트 인젝션	신규 데이터 주입 공격
삽입 대상	명시적 명령문	사실·평가·맥락 정보
탐지 단서	특정 키워드·지시 패턴	사실 일관성, 출처 권위
에이전트 인식	명령 충돌 발생	정상 업무로 인식
기존 가드레일 효과	부분적 차단 가능	사실상 무력

실전 대응 플레이북

데이터 출처 신뢰성 평가 체계 도입

콘텐츠의 사실성 검증에 그치지 않고 데이터 출처 자체에 대한 신뢰 점수를 도입해야 한다. 작성자 검증, 등록 이력, 도메인 평판, 이전 상호작용 이력 등을 결합해 다층 신뢰 등급을 산출하고 이를 에이전트의 의사결정 입력에 함께 반영해야 한다. 신뢰 등급이 낮은 출처의 데이터는 단순히 무시하는 데서 끝나지 않고 가중치를 낮춰 보조 정보로만 활용하도록 설계한다.

신뢰 경계 분리 및 행동 화이트리스트 적용

외부 데이터 영역과 에이전트의 명령·계획 영역을 구조적으로 분리해야 한다. 데이터 채널에서 직접 도구 호출이나 명령 실행이 일어나지 못하도록 격리하고, 사전에 정의된 행동 화이트리스트(허용된 동작 목록)에 포함된 호출만 수행하도록 제한한다. 이렇게 하면 데이터 주입으로 인한 명령 실행 가능성을 한 단계 좁힐 수 있다.

이상 행위 기반 모니터링과 샌드박스 격리

콘텐츠 기반 시그니처 대신 에이전트의 클릭, 명령 실행, 외부 호출 패턴을 실시간으로 추적하는 행동 기반 탐지 체계를 구축해야 한다. 의심 행위가 감지되면 즉시 권한을 축소하거나 샌드박스(외부와 격리된 가상 실행 환경)로 격리해 피해 범위를 최소화한다. Bleeping Computer는 이러한 행동 신뢰 중심의 접근이 에이전트 시대 보안의 새로운 표준이 되어야 한다고 강조한다.

마무리 – AI 에이전트 보안의 다음 단계

사실 오염 기반 공격의 등장은 에이전트 보안 패러다임을 콘텐츠 신뢰 중심에서 행동 신뢰 중심으로 재편할 것을 요구한다. 다층 출처 평가, 신뢰 경계 분리, 행동 화이트리스트, 이상 행위 모니터링을 결합한 종합 거버넌스가 다음 단계의 핵심 과제가 될 것으로 전망된다.