구글 ‘제미니’ 치명적 취약점…AI가 사이버 공격 무기로 활용 외 1건

요약	- 구글 인공지능 어시스턴트 Gemini가 심각한 보안 취약점에 노출됐던 사실이 공개 - Gemini 핵심 기능 세가지에서 결함이 발견됐고, 현재는 패치가 완료
내용	- Gemini의 핵심 기능 세 가지에서 치명적인 보안 결함을 발견됐고, 이를 Gemini Trifecta로 명명 > 취약점은 패치가 완료됐지만, AI 자체가 공격 수단으로 활용될 수 있음을 보여줌 ① Gemini Cloud Assist : 클라우드 로그 요약 기능 악용 가능 - 공격자가 구글 클라우드 로그에 악성 프롬프트를 삽입하면, 관리자가 이를 요약할 때 제미니가 해당 명령을 실행하도록 속일 수 있다는 점을 확인 > 예를 들어 공격자는 User-Agent 헤더에 숨겨진 프롬프트를 삽입해 로그를 오염시킬 수 있었음 > 이렇게 삽입된 명령은 관리자가 로그 분석을 요청할 때 실행 > 제미니는 클라우드 에셋 API 등을 통해 자산 정보나 IAM 설정 오류 같은 민감한 데이터를 공격자에게 전달할 수 있었음 > 공격자가 하이퍼링크를 생성해 여기에 기밀 데이터를 포함시킬 수 있었고, 피해자는 이를 눈치채기 어려움 ② Gemini Search Personalization : 검색 이력 조작 통한 정보 탈취 - Gemini Search Personalization는 사용자의 크롬 검색 이력을 활용해 답변을 맞춤화하는데, 이력이 악성 명령으로 오염될 수 있다는 점을 지적 > 공격자는 악성 웹사이트를 만들어 사용자가 접속하도록 유도한 뒤, 자바스크립트를 이용해 브라우저 검색 기록에 숨겨진 프롬프트를 심음 > 이후 사용자가 제미니와 대화할 때, 오염된 검색 기록이 모델에 그대로 반영돼 민감한 데이터나 위치 정보가 공격자에게 유출될 수 있었음 > 보안 전문가들은 “단순히 악성 사이트를 방문하는 것만으로 공격 준비가 완료되는 매우 은밀한 방식”이라고 평가 ③ Gemini Browsing Tool : 브라우징 툴 통한 은밀한 유출 - 공격자가 프롬프트를 통해 브라우징 툴을 악용하면, 사용자의 개인정보를 공격자가 운영하는 외부 서버로 직접 전송할 수 있다는 점을 발견 > 이 과정에서 데이터는 URL 쿼리 형태로 삽입돼 전달되며, 사용자는 별도의 하이퍼링크나 이미지가 표시되지 않아 유출 사실을 알아차리기 어려움 > “브라우징 툴이 실행하는 내부 요청을 통해 데이터가 조용히 빠져나가기 때문에, 기존의 하이퍼링크 차단이나 렌더링 제한 같은 보안 장치로는 막을 수 없었다”고 지적 - 구글 > 로그 요약 시 하이퍼링크 렌더링을 중단하고 모델을 강화하는 등 방어 조치 > 또한 프롬프트 인젝션을 차단하기 위한 추가적인 보안 강화 조치를 적용 > 그러나 보안 전문가들은 “이 같은 취약점은 특정 기업의 문제에 그치지 않고, AI가 공격 도구로 활용될 수 있다는 사실을 보여준 사례”라며 우려 - 보안전문가 > 이번 사건은 AI 시스템이 단순히 공격 대상이 아니라 공격 수단이 될 수 있음을 입증 > 구글의 패치가 단기적으로 위협을 줄였지만 유사한 문제는 다른 AI 플랫폼에서도 나타날 수 있다고 경고 > 제미니 트리펙타는 간접적인 프롬프트 인젝션의 위험성을 드러낸 대표적 사례 - 이번 사건은 AI 보안의 패러다임 전환을 보여줌 > 프롬프트 인젝션이나 간접 명령 삽입 같은 새로운 공격 방식은 기존 보안 체계가 예상하지 못한 영역에서 발생 > 전문가들은 AI 기능을 단순 편의 도구로 보는 시각에서 벗어나, 이를 새로운 공격 표면으로 인식하고 보안 정책에 포함해야 한다고 강조 - 업계 전문가 > AI 기반 기능은 환경 전반에 걸쳐 존재하는 만큼, 위치와 권한을 명확히 파악하고 엄격한 정책 집행이 필요 > 또한 로그 입력 검증 강화, 권한 최소화, 외부 요청 모니터링, 프롬프트 필터링, AI 레드팀 모의훈련 등 다층적 방어 전략이 필수적
기타	-

 

보안뉴스

구글 ‘제미니’ 치명적 취약점…AI가 사이버 공격 무기로 활용 - 데일리시큐

The Trifecta: How Three New Gemini Vulnerabilities in Cloud Assist, Search Model, and Browsing Allowed Private Data Exfiltration