AI 에이전트 보안
피싱 링크 한 번이 AI 에이전트를 내부자 위협으로 바꿀 수 있었습니다
Zenity Labs가 공개한 AgentForger는 ChatGPT Workspace Agents Builder의 권한과 승인 구조가 공격 표면이 될 수 있음을 보여줍니다. OpenAI는 6월 8일 수정했습니다.
이 글에서 다룰 내용
AgentForger의 공격 조건, 악성 에이전트의 지속 실행 구조, 조직이 점검할 최소 권한·승인·감사 대응
AgentForger는 어떤 취약점일까요?
보안 연구기업 Zenity Labs가 2026년 7월 23일 공개한 AgentForger는 ChatGPT Workspace Agents Builder를 겨냥한 취약점입니다. 피해자가 ChatGPT에 로그인했고 Workspace Agents 접근 권한과 승인된 커넥터를 하나 이상 가진 상태에서 조작된 링크를 클릭하면 공격 흐름이 시작될 수 있었습니다.
Zenity Labs의 공개 일정에 따르면 이 문제는 6월 4일 OpenAI에 제보됐고 OpenAI가 6월 8일 수정했습니다. 따라서 현재 악용 가능한 미해결 취약점으로 단정하기보다, 에이전트 권한과 승인 구조가 공격 표면이 될 수 있음을 보여준 공개 연구 사례로 봐야 합니다.
기존 피싱은 가짜 로그인 페이지에서 비밀번호를 훔치는 방식이 흔했습니다. AgentForger가 주목받는 이유는 계정 정보를 직접 탈취하지 않더라도 사용자의 권한을 가진 AI 에이전트의 행동을 공격자가 유도할 수 있다는 점입니다.
쉽게 말해 공격자가 회사 안으로 직접 들어오는 대신, 이미 안에 있는 AI 에이전트가 위험한 요청을 수행하도록 만드는 방식입니다. 이 때문에 정상적인 업무 자동화 도구가 순식간에 내부자 위협과 비슷한 역할을 할 수 있습니다.
이 글에서 다룰 내용
AgentForger의 작동 원리, CSRF와 피싱 링크의 관계, ChatGPT Workspace Agents가 조직에 미치는 위험, 실무에서 적용할 권한 관리와 조직 보안 대응책
피싱 링크 하나가 왜 위험한가요?
AgentForger의 핵심에는 CSRF 문제가 있습니다. CSRF는 사용자가 특정 서비스에 로그인한 상태라는 점을 악용해, 공격자가 의도한 요청을 사용자의 권한으로 보내게 만드는 공격입니다.
일반적인 웹서비스에서 CSRF가 발생하면 계정 설정 변경이나 원치 않는 작업 실행으로 이어질 수 있습니다. 여기에 AI 에이전트가 연결되면 위험 범위가 더 넓어집니다.
Zenity Labs가 확인한 Workspace Agents는 Outlook, Gmail, Slack, Google Drive, SharePoint, Teams 같은 서비스에 연결해 작업을 실행하고 일정에 따라 반복 실행할 수 있었습니다.
연구진이 설명한 링크에는 공격자 지시가 포함됐고, 로그인된 피해자가 클릭하면 Agent Builder가 열리면서 해당 지시가 자동 제출됐습니다. 이어 악성 에이전트의 생성, 권한 설정, 게시, 일정 등록, 즉시 실행까지 연결될 수 있었습니다.
특히 공격자는 피해자의 연결 계정과 승인 상태를 이용할 수 있었습니다. 외부 계정이 직접 침입하는 방식과 달리 조직의 신뢰 경계 안에서 에이전트가 움직이는 구조라 탐지와 책임 추적이 더 어려워질 수 있습니다.
AI 에이전트가 내부자 위협처럼 변하는 과정
이 공격은 신뢰를 연결고리로 삼습니다. 사용자는 익숙한 메일이나 협업 메시지에 포함된 링크를 클릭하고, 브라우저는 이미 로그인된 세션을 유지하고 있습니다.
그 상태에서 조작된 요청이 처리되면 사용자가 직접 입력하지 않은 설정과 지시가 악성 에이전트에 반영될 수 있었습니다. 연구진은 예약 작업이 공격자 메일을 명령 채널로 삼아 지시를 읽고 연결 앱에서 실행한 뒤 결과를 회신하는 지속 실행 시나리오도 재현했습니다.
여기서 위험을 키우는 요소는 에이전트에 부여된 권한의 범위입니다. 읽기 권한만 가진 에이전트와 문서 수정, 외부 전송, 시스템 연동까지 가능한 에이전트는 사고 발생 시 피해 규모가 완전히 다릅니다.
공개된 실험 범위에는 조직 정찰, 클라우드 문서 탐색, Slack 메시지에 언급된 자격증명 수집, 피해자 계정을 이용한 Teams 피싱 전송이 포함됐습니다. 이는 실제 조직 침해 피해 보고가 아니라 Zenity Labs가 통제된 연구에서 재현한 공격 시나리오입니다.
따라서 AgentForger는 특정 제품의 단일 취약점으로만 보면 안 됩니다. AI가 조직의 도구를 대신 사용하는 시대에는 신뢰된 에이전트 자체가 새로운 공격 표면이 된다는 경고에 가깝습니다.
조직 보안은 무엇부터 점검해야 할까요?
첫 번째는 최소 권한 원칙입니다. 모든 ChatGPT Workspace Agents에 동일한 접근 권한을 주지 말고, 담당 업무에 꼭 필요한 데이터와 기능만 허용해야 합니다.
두 번째는 실행 권한과 조회 권한을 분리하는 것입니다. 정보를 읽고 요약하는 작업은 자동화하더라도 파일 삭제, 외부 공유, 설정 변경처럼 영향이 큰 작업은 사람의 승인을 거치게 하는 편이 안전합니다.
세 번째는 링크를 통한 민감한 설정 변경을 차단하는 것입니다. 상태를 변경하는 요청에는 CSRF 방어 토큰, 요청 출처 검증, 재인증 등의 보호 장치가 적용되어야 합니다.
네 번째는 에이전트 활동을 별도로 기록하고 감시하는 것입니다. 평소와 다른 데이터 접근, 갑작스러운 설정 변경, 대량 조회, 낯선 외부 서비스 호출이 발생하면 즉시 확인할 수 있어야 합니다.
마지막으로 피싱 교육의 범위도 넓혀야 합니다. 이제는 “비밀번호를 입력하지 않으면 안전하다”는 설명만으로 충분하지 않습니다. 로그인 상태에서 링크를 클릭하는 행동만으로도 위험한 요청이 실행될 수 있다는 점을 구성원에게 알려야 합니다.
AI 에이전트 보안의 핵심은 통제 가능한 자동화입니다
AgentForger 사례가 보여주는 교훈은 AI 에이전트를 사용하지 말아야 한다는 것이 아닙니다. 자동화의 편리함을 유지하면서도 에이전트가 무엇을 읽고, 어떤 작업을 실행하며, 어디로 데이터를 보낼 수 있는지 통제해야 한다는 뜻입니다.
효과적인 AI 에이전트 보안은 피싱 링크 탐지, CSRF 방어, 세션 보호, 권한 관리, 활동 로그 분석이 함께 작동할 때 완성됩니다. 어느 한 단계만 믿으면 공격자는 나머지 연결 지점을 노릴 수 있습니다.
조직 보안 담당자는 AI 에이전트를 일반 사용자 계정이나 단순한 챗봇으로 취급해서는 안 됩니다. 실제 업무를 수행하는 또 하나의 디지털 구성원으로 보고, 최소 권한과 승인 절차, 지속적인 모니터링을 적용해야 합니다.
편리한 에이전트일수록 많은 권한을 요구하지만, 그 권한이 곧 공격자의 목표가 될 수 있습니다. 자동화 수준을 높이기 전에 사고가 발생했을 때 에이전트를 즉시 중지하고 권한을 회수할 수 있는지도 함께 점검해야 합니다.
한 줄 요약: AgentForger는 피싱 링크와 로그인 세션을 악용해 AI 에이전트를 내부자 위협처럼 만들 수 있음을 보여준 수정 완료 연구 사례이며, 최소 권한과 실행 전 승인 중심의 보안 설계가 필요합니다.
