CoSnitch: Copilot Personal이 의도치 않은(그리고 위험한) 내부고발자가 될 때

겉보기에 무해한 링크를 클릭했는데, 그 사이 백그라운드에서 AI 비서가 당신의 메일과 일정 상세, Google Drive의 파일 이름을 밖으로 실어 보냈다고 상상해 보자. 공상과학이 아니다. Varonis Threat Labs가 Microsoft Copilot Personal(컨슈머/웹 버전)에서 발견한 취약점 연쇄 CoSnitch의 이야기이고, Microsoft는 제보로부터 여덟 달이 지난 2026년 8월 18일에야 이를 패치했다. Varonis는 패치 이전에 실제 공격에서 악용된 증거는 찾지 못했다고 밝혔다. 즉 여기서 다루는 것은 이 연쇄가 가능하게 만든 시나리오이지, 문서화된 사고가 아니다. 커맨드 인젝션으로 분류된 CVE-2026-24301은 CVSS 8.8(HIGH) 점수를 받았고, 세 가지 결함을 엮는다. 문서화되지 않은 URL 파라미터(`q`와 `autorun=1`)를 통한 프롬프트 자동 실행, OAuth 커넥터로 접근 가능한 데이터의 조용한 유출, 그리고 Copilot 메모리의 지속적 오염이다. 이 모든 과정에 탈취된 자격 증명도, 악성 첨부파일도 필요 없고, 감시하는 쪽에 남는 이상 신호도 없다. Varonis의 요약은 이렇다. “CoSnitch is three vulnerabilities, one click, and zero anomalous signals”(CoSnitch는 세 개의 취약점, 한 번의 클릭, 그리고 이상 신호 제로다).

문제는 기술만이 아니라 설계에 있다. 메일·캘린더·클라우드 저장소에 연결된 AI 비서는 보안 경계 자체를 옮겨 놓는다. 더 이상 계정을 뚫을 필요가 없다. 데이터를 읽고 보낼 권한이 이미 있다고 비서를 설득하면 그만이다. CoSnitch는 그 극단적인 사례다. Varonis는 활성 커넥터로 접근 가능한 데이터—메일, Google Drive, Google Calendar—와 대화 기록, Copilot 메모리가 노출된다고 본다. The Hacker News의 정리에 따르면 여기에는 메시지 본문과 제목, 발신자·수신자 메타데이터, 캘린더 일정의 상세와 참석자, 파일 이름과 파일 메타데이터가 포함된다. 연구진이 문서화되지 않은 파라미터를 찾아낸 방식도 흥미롭다. 코드를 분석하는 대신 Copilot에게 “프롬프트 자동 실행이 왜 불가능한지”를 반복해 물었고, 비서 자신의 답변에서 작동 원리를 재구성한 것이다. The Hacker News가 인용한 Varonis의 논평은 이렇다. “Copilot wasn't breached; it was played”(Copilot은 뚫린 게 아니라, 놀아난 것이다).

수정 타임라인은 몇 가지 의문을 남긴다. Varonis는 2025년 12월에 Microsoft에 제보했다고 밝혔고, Computerworld는 그 시점을 12월 31일로 특정한다. 완전한 패치는 2026년 8월에야 나왔다. Computerworld는 2026년 2월에 자동 실행에 대한 부분적 수정이 있었고, 8월에 최종적으로 차단됐다고 전한다. 이 매체가 전한 성명에서 Microsoft는 고객이 이미 보호받고 있으며 별도 조치가 필요 없다고 말한다. “Our customers are already protected and do not need to take any action. We continuously update our guardrails to strengthen protections against similar techniques”(고객은 이미 보호받고 있으며 어떤 조치도 취할 필요가 없습니다. 당사는 유사한 기법에 대한 보호를 강화하기 위해 가드레일을 지속적으로 갱신하고 있습니다). 그럼에도 불확실성은 남는다. 수정에 왜 여덟 달이 걸렸는지 설명되지 않았고, Microsoft는 패치의 기술적 세부 사항도 공개하지 않았다. 게다가 CoSnitch와 연결된 CVE의 범위, 그리고 결함의 심각도(NVD는 HIGH, 언론과 Microsoft는 “치명적”)에 대해 출처들이 엇갈린다. 마지막으로, 실제 공격에서의 악용 증거가 없다는 것도 해당 기업의 관측에 근거한 주장일 뿐 독립적인 검증은 아니다.

실무적 권고는 여전히 중요하다. 연결된 앱의 권한을 다시 점검하고, 접근 권한 검토에서 Copilot을 특권 시스템으로 다루며, AI 비서를 곧바로 여는 링크를 경계할 것. CoSnitch는 단순한 취약점이 아니라 하나의 환기다. 비서가 모든 것에 접근할 수 있다면, 클릭 한 번으로 그것은 유출 경로가 된다. 그리고 지속적 메모리는 ‘지속 시간’이라는 문제를 더한다. 거기에 심어진 악성 지시는 세션이 끝나도 남는다. 질문은 이것이다. 설계상 이토록 쉽게 “놀아날” 수 있는 시스템을, 우리는 어디까지 신뢰할 생각인가?