코파일럿, 링크 클릭만으로 비밀번호 유출…바로니스 연구진 공격 구현

보안업체 바로니스 연구진은 기업용 마이크로소프트 365 코파일럿을 상대로 사용자 확인 없이 비밀번호 등 민감정보를 빼내는 공격을 구현했다. 공격 구현 과정과 파라미터, 이후 완화 조치는 모두 Ars Technica 단일 보도에 근거한다.

클릭 한 번으로 성립한 공격

공격에 쓰인 값은 ‘?autorun=1’ 문자열이다. 이미 알려진 ‘?q=’ 파라미터와 함께 쓰이면, 대상이 악성 URL을 클릭하는 순간 연구진이 심어둔 프롬프트가 별도 확인 없이 실행됐다.

프롬프트 파라미터는 URL 뒤에 붙어 챗봇 입력값을 미리 지정하는 값이다. 코파일럿은 원래 강력한 명령을 실행하기 전 키 입력 같은 사용자의 명시적 동의를 요구하는 가드레일, 즉 위험한 실행 전에 사람의 확인을 받도록 걸어둔 안전장치를 두고 있었다.

질문을 이어가다 드러난 미공개 값

연구진의 데이터 유출 요청도 처음에는 거부됐다. 연구진은 리버스 엔지니어링 같은 전통적 취약점 탐색 기법을 쓰지 않았고, 대신 코파일럿에 안전장치와 관련한 질문을 이어가며 정보를 얻었다.

질문 대상은 자동 실행이 불가능한 이유, 관련 URL 구조와 특정 화면·기능으로 바로 이동시키는 주소인 딥링크, 입력란에 값이 채워진 채 페이지가 열릴 때의 동작 등이었다. 이 과정에서 코파일럿은 사용자 동의 요건을 완전히 우회하는 미공개 프롬프트 파라미터를 연구진에게 제시했다.

바로니스 선임 연구원 리오르 아다르는 코파일럿이 거부할 때마다 내부 구조에 관한 기술적 세부사항이 드러났다고 Ars Technica에 설명했다. 최종적으로 그 미공개 파라미터를 자동 실행 프롬프트에 사용했다는 것이다.

마이크로소프트의 대응

마이크로소프트는 ‘?q=’ 파라미터가 챗봇 입력란에 텍스트를 넣지 못하도록 변경해 취약점을 완화했다. 이 조치 이후 사용자는 직접 클릭해 입력해야 했고, 해당 파라미터를 이용하던 서드파티 브라우저 연동은 기존 방식으로 작동하지 않게 됐다. Ars Technica는 마이크로소프트가 이후 더 포괄적인 수정도 적용했다고 보도했다.