Meta의 Muse AI, 단 하나의 ClickFix 프롬프트로 공격자가 탈취할 수 있는 0-Day 취약점 발견

Mac용 Meta Muse AI 어시스턴트에서 패치가 아직 제공되지 않은 보안 결함, 즉 제로데이 취약점이 확인됐습니다. 공격자는 ClickFix라는 기법을 이용해 이 에이전트를 완전히 탈취할 수 있다고 Ars Technica가 보도했습니다.

핵심 요약

• Mac용 Meta Muse AI 어시스턴트에서 보안 연구자들이 패치되지 않은 제로데이 취약점을 공개했습니다.
• ClickFix 공격 — AI 에이전트를 속여 악성 프롬프트를 실행하게 만드는 소셜 엔지니어링 기법 — 은 Muse를 완전히 탈취하는 것으로 확인된 방법 중 하나입니다.
• Muse는 메시지, 캘린더, 메모를 포함한 비정상적으로 광범위한 시스템 접근 권한을 보유하고 있어, 탈취에 성공할 경우 그 피해가 특히 심각합니다.
• ClickFix는 유일한 공격 경로가 아니며, 연구자들은 이를 에이전트를 침해하는 여러 방법 중 하나로 설명합니다.
• 현재 사용 가능한 패치가 없으므로, Muse를 사용 중인 사용자는 예상치 못한 에이전트 동작을 침해 가능성의 징후로 간주해야 합니다.

ClickFix 공격이 실제로 하는 일

ClickFix는 프롬프트 인젝션 기법입니다. AI 에이전트가 읽는 콘텐츠 안에 악성 명령을 삽입해, 에이전트가 그 명령을 정당한 사용자 지시인 것처럼 실행하게 만드는 방식입니다. 실제 작업 지시서 더미 속에 위조된 지시서를 슬쩍 끼워 넣는 것과 같습니다. 에이전트는 그 차이를 구별하지 못합니다. Muse의 경우, 이 공격은 기기에 대한 특별한 접근 권한이 필요하지 않습니다. 공격자는 웹페이지, 문서, 또는 메시지를 통해 악성 콘텐츠를 에이전트 앞에 노출시키기만 하면 Muse를 원하는 대로 조종할 수 있습니다.

이 공격이 특히 날카로운 이유는 탈취된 Muse가 할 수 있는 일에 있습니다. 이전 Charmloop 보도에서 다뤘듯이, Muse는 Apple 메시지, 캘린더 항목, 메모를 읽을 수 있는 권한을 보유하고 있습니다. 대부분의 데스크톱 앱이 요청하지 않는 수준의 시스템 접근 권한입니다. 탈취된 Muse는 단순히 오작동하는 챗봇이 아닙니다. 공격자를 대신해 개인 통신 내용과 일정 데이터를 읽을 수 있는 에이전트입니다.

「비정상적으로 높은 권한」이 핵심 표현인 이유

Ars Technica가 Muse를 「비정상적으로 높은 권한을 가진」 존재로 표현한 것이 바로 이 제로데이가 심각한 이유의 핵심입니다. 대부분의 AI 어시스턴트는 제한된 범위의 샌드박스 환경에서 작동합니다. Muse는 깊은 OS 통합을 위해 설계됐으며, 그것이 바로 기능입니다. 그러나 깊은 통합은 동시에 프롬프트 인젝션 버그를 단순한 불편함에서 완전한 데이터 유출 위험으로 바꾸는 요인이기도 합니다.

연구자들은 또한 ClickFix가 단지 하나의 진입 경로일 뿐임을 분명히 밝히고 있습니다. 이 제로데이에는 여러 공격 표면이 존재하며, ClickFix 사례는 공격의 문턱이 얼마나 낮은지를 보여주는 시연으로 제시된 것이지, 가능한 것의 한계를 보여주는 것이 아닙니다. 이 구분은 중요합니다. 하나의 경로를 패치한다고 해서 근본적인 취약점이 해소되지는 않습니다.

AI 에이전트를 사용하는 모든 이에게 실질적인 위험

AI 창작자들에게 이 사례는 추상적으로 다루기 쉬운 위험을 구체적으로 보여주는 사례입니다. 단순히 텍스트나 이미지를 생성하는 것이 아니라 사용자를 대신해 행동을 취하는 에이전틱 AI 도구는 수동적인 도구와는 근본적으로 다른 위협 프로파일을 가집니다. Charmloop의 생성기와 같은 플랫폼에서 이미지 생성기를 사용할 때, 모델은 결과물을 생성할 뿐 시스템에서 직접 행동하지 않습니다. 반면 Muse 같은 에이전트는 개인 데이터 저장소를 읽고 잠재적으로 쓰기까지 합니다.

보안 연구 커뮤니티는 에이전틱 시스템의 프롬프트 인젝션에 대해 오랫동안 경고해 왔지만, 확인된 0-Day를 가진 이름 있고 널리 배포된 제품이 등장하면서 그 위험이 구체화됐습니다. 창작 워크플로에 통합할 AI 도구를 평가하는 중이라면 — 특히 광범위한 OS 권한을 요청하는 도구라면 — Muse 사례는 무언가 잘못됐을 때 「높은 권한 접근」이 실제로 무엇을 의미하는지 보여주는 유용한 참고 사례입니다.

Meta는 이 글을 작성하는 시점까지 공개적인 패치 일정을 발표하지 않았습니다. 패치가 제공될 때까지 가장 안전한 대응은 시스템 설정에서 Muse의 접근 권한을 제한하고, 요청하지 않은 에이전트 동작은 모두 조사할 가치가 있는 것으로 간주하는 것입니다.