보안업체 Adversa AI가 그록을 겨냥한 '암호화 컨텍스트 주입' 공격을 공개했어요. 웹페이지 요약을 요청하기만 해도 이름·위치·구독등급·대화기록이 빠져나가요. 6월 3일 신고했는데 8월 21일 현재까지 xAI 응답이 없다고 해요.
Adversa AI라는 보안 업체가 오늘 공개한 리포트를 보고 좀 소름 돋았어요. 그록(Grok)한테 그냥 "이 페이지 요약해줘"라고 부탁하는 것만으로 이름, 대략적인 위치, 구독 등급, 지금까지의 대화 기록까지 통째로 빠져나갈 수 있다고 해요. 클릭 한 번, 확인창 하나 없이요. ⚠️
연구진이 이 기법에 붙인 이름이 "Cryptographic Context Injection"이에요. 원리는 이래요. 공격자가 웹페이지 하나를 만들어서 그 안에 암호화된 JSON 덩어리를 숨겨둬요. AES-256-GCM에 PBKDF2 키 유도까지 쓴, 꽤 제대로 된 암호화예요. 사용자가 그록한테 이 페이지를 요약해달라고 하면, 그록은 페이지를 읽으면서 자기 내장 파이썬 샌드박스로 그 암호문을 복호화까지 해줘요. 문제는 여기서부터예요. 복호화된 평문을 그록이 "신뢰할 수 있는 내부 컨텍스트"로 착각해버려요.
그 평문 안에는 세션 정보를 긁어서 특정 URL에 붙여넣으라는 지시가 들어있어요. 그록이 이걸 그대로 따라서 사용자 이름, 대략적 위치, 구독 등급, 최근 대화 내용을 URL 파라미터로 만들고, 그 URL을 자기가 알아서 불러와버려요(자동 로드). 그 순간 데이터는 공격자 서버로 넘어가는 거고요. 사용자는 그냥 요약 부탁 한 번 했을 뿐인데 말이죠.
더 답답한 부분은 타임라인이에요. Adversa AI는 이 문제를 6월 3일에 xAI에 신고했대요. 그리고 8월 4일, 8월 10일 두 번이나 추가로 연락해서 공개 조율을 시도했는데 응답이 없었다고 해요. 이 글 쓰는 시점(8월 21일) 기준으로도 패치가 안 됐다고 하고요. 신고부터 지금까지 두 달 반이 넘게 지난 거예요. 🔥
사실 프롬프트 인젝션 자체는 새로운 얘기는 아니에요. 근데 이번 케이스가 좀 특이한 건 암호화를 방어 수단이 아니라 공격 수단으로 뒤집어 썼다는 점이에요. 웹페이지에 그냥 평문으로 악성 지시를 심어두면 필터링에 걸릴 수 있잖아요. 근데 암호문으로 숨겨두고, AI 에이전트한테 "이거 좀 풀어봐"라고 시키면 에이전트가 자기 손으로 방어막을 뚫고 들어오는 셈이 되는 거죠. 웹 브라우징이랑 코드 실행 샌드박스를 동시에 가진 에이전트일수록 이런 식의 공격에 더 취약해질 수밖에 없을 것 같아요.
개인적으론 이게 그록만의 문제는 아니라고 봐요. 웹 요약, 코드 실행, 자동 URL 로드 이 세 가지 기능을 다 갖춘 AI 비서라면 어디든 비슷한 구멍이 있을 가능성이 있거든요. 실제로 관련 보도를 보면 제미나이 쪽도 비슷한 방식의 가드레일 우회가 언급되더라고요. 에이전트가 할 수 있는 일이 늘어날수록 "이 에이전트가 방금 실행한 코드, 진짜 믿을 만한 지시에서 나온 게 맞나"를 검증하는 계층이 따로 필요해 보이는데, 지금 나온 상용 AI 비서들 대부분이 그 검증 계층은 아직 허술한 것 같네요.
출처