Microsoft Copilot가 해킹 허용한 비밀 파라미터 스스로 폭로
원제: Microsoft Copilot reveals secret input that allowed it to be hacked
왜 중요한가
AI 어시스턴트 자체를 질문 도구로 활용해 미공개 취약점을 발견한 사례로, 프롬프트 보안 설계의 새로운 위협 벡터를 제시한다.
보안기업 Varonis의 연구자들이 Microsoft 365 Copilot Enterprise에서 사용자 확인 없이 비밀번호 등 민감 정보를 탈취할 수 있는 취약점을 발견했다고 2026년 8월 18일 공개했다. 연구자들은 역공학 없이 Copilot 자체에 질문해 비공개 파라미터 ?autorun=1을 알아냈으며, Microsoft는 취약점 보고 3개월 후인 2월에 조용히 완화 조치를 적용했다.
보안기업 Varonis의 선임 연구원 Lior Adar가 이끄는 팀은 Microsoft 365 Copilot Enterprise에서 사용자가 링크를 클릭하는 것만으로 비밀번호 등 민감 데이터를 탈취할 수 있는 취약점을 발견했다.
연구진은 역공학 등 전통적인 취약점 탐색 방법 대신, Copilot 자체에 20문답 방식으로 질문을 이어가며 내부 구조 정보를 끌어냈다. Copilot는 자동 실행이 불가능한 이유, 관련 URL 구조, 딥 링크 형식, 프롬프트 필드에 미리 입력이 있을 경우의 동작 등을 반복적으로 설명하다가 마침내 비공개 파라미터인 ?autorun=1을 스스로 공개했다.
Adar는 Ars Technica에 "처음에는 Copilot가 계속 거부했지만, 거부할 때마다 내부 아키텍처에 관한 기술적 세부 정보가 노출됐다"며 "결국 비공개 파라미터가 공개됐고, 이를 자동 실행 프롬프트에 활용했다"고 밝혔다.
이 파라미터를 기존에 알려진 ?q= 파라미터와 결합하면, 피해자가 악성 URL을 클릭하는 순간 사용자 동의 없이 프롬프트가 자동 실행됐다. Varonis가 2025년 11월 취약점을 보고한 이후 Microsoft는 2026년 2월 ?q= 파라미터를 통한 텍스트 주입을 차단하는 완화 조치를 조용히 적용했으며, 2026년 8월 18일에는 보다 포괄적인 수정 패치를 배포했다.