AI 개발도구 내장 브라우저 취약점 5건 공개…연구진 "코덱스·VS코드는 발표 시점 미수정"
보안 연구진이 AI 개발도구 5종의 내장 브라우저에서 서로 다른 접근권한 결함을 발표했다. 코덱스·VS코드의 수정 여부는 발표 당시 연구진 평가와 현재 상태를 구분해야 한다.
AI 개발도구의 내장 브라우저가 로컬 파일이나 웹페이지에 허용한 권한을 악용해 파일을 읽거나 주소 표시를 속일 수 있다는 보안 연구가 나왔다. 연구진은 10월 29일 커서·깃허브 코파일럿·오픈AI 코덱스·VS코드·클로드 데스크톱에서 서로 다른 취약점을 시험했다고 발표했다.
보안업체 포에버시큐리티가 붙인 이름은 '엠브레이스(EMBRACE)'다. 하나의 공통 코드 결함이 아니라 브라우저를 개발도구 안에 넣으면서 기존의 격리 경계를 느슨하게 만든 사례들을 묶은 것이다. 회사가 공개한 시험에서는 커서의 웹페이지가 AI 에이전트의 입력창에 숨은 명령을 전달했고, 사용자가 실행을 승인하자 로컬 프로그램이 실행됐다. 연구진도 이 경로의 성공이 AI 모델의 동작에 따라 달라진다고 밝혔다.
로컬 파일 미리보기에서 생긴 틈
클로드 데스크톱과 VS코드에서는 프로젝트 폴더 밖 파일을 읽지 못하게 막는 검사가 일반 페이지에는 적용됐지만 웹 워커에는 적용되지 않았다는 게 연구진의 설명이다. 코덱스에서는 당시 시험한 로컬 페이지 자체에서 다른 파일을 읽을 수 있었다. 별도의 공격자가 만든 로컬 파일을 개발자가 열어야 한다는 조건이 있으며, 이 시험이 모든 제품·버전에서 같은 피해가 발생했다는 뜻은 아니다.
깃허브 코파일럿에선 웹페이지가 실제 접속 위치와 다른 주소를 내장 브라우저에 알릴 수 있었다고 연구진은 밝혔다. 가짜 로그인 화면이 신뢰할 만한 주소 아래 표시될 수 있는 방식이다. 다만 연구진은 깃허브가 자신들의 신고 전에 코파일럿 1.1.29에서 이를 고쳤고, 커서 취약점도 10월 1일 수정됐다고 적었다.
수정 여부는 공개 당시 주장과 구분해야
포에버시큐리티는 10월 29일 글에서 코덱스와 VS코드 사례가 발표 시점까지 수정되지 않았다고 주장했다. 이는 연구진의 공개 당시 평가로, 11월 1일 모든 설치본의 현재 상태를 확인한 결과는 아니다. 마이크로소프트와 오픈AI의 별도 수정 공지를 확인하지 못해 최신 버전의 안전 여부를 단정할 수 없다.
독립 보안업체 노마랩스도 클로드 코드 데스크톱의 미리보기 화면에서 웹 워커를 이용해 파일 접근 제한을 우회한 시험을 10월 14일 공개했다. 노마 측은 앤트로픽이 8월 17일 1.30096.1 이상 버전에 수정 사항을 배포했다고 밝혔다. 두 연구는 구현과 공격 전달 방식이 같지 않으므로 하나의 취약점이나 동일한 패치 일정으로 합쳐 볼 수 없다.
이번 공개는 AI 도구가 표시하는 웹페이지·프로젝트 파일을 신뢰할 수 있는 지시나 권한으로 승격할 때 생기는 위험을 보여준다. 포에버시큐리티의 시연과 별개로 실제 이용자 피해 규모는 제시되지 않았다.
대표 이미지: AI 생성 이미지 / 데이마크
출처: https://forever.security/blog/embrace-hacking-5-ai-assistants-embedded-browsers-technical
https://www.helpnetsecurity.com/2026/10/29/research-ai-assistant-browser-vulnerabilities/
