Microsoft Copilot, 스스로 해킹 단서를 흘렸다…클릭 한 번에 사용자 데이터 유출

요약

보안 기업 Varonis의 연구원들이 Microsoft 365 Copilot Enterprise의 취약점을 발견하여 사용자 확인 없이 민감한 데이터에 접근하는 익스플로잇을 성공시켰다. 이들은 일반적인 해킹 기법 대신 Copilot에게 직접 질문을 던지는 방식을 사용하여 보안 가드레일 작동 원리와 예외 상황을 파악했다. 연구원들은 '스무고개'와 같은 반복적인 질문을 통해 Copilot이 사용자 동의 없이 특정 명령을 자동 실행하지 못하게 막는 제약 조건들을 알아냈다. 결국 연구원들은 Copilot으로부터 자동 실행 제한을 우회할 수 있는 문서화되지 않은 내부 파라미터를 알아내는 데 성공했다. 이를 통해 사용자가 특정 링크를 클릭하기만 해도 민감한 데이터를 탈취할 수 있는 보안 취약점이 확인되었다.

AI가 원문을 요약한 내용으로, 부정확할 수 있습니다.