노르웨이 연구자 호콘 몰뢰이가 흰 배경에 흰 8포인트 글씨로 숨긴 지시문을 워드 문서에 넣자, 코파일럿이 서식을 걷어내고 그 문장을 읽어 보고서의 숫자를 몰래 고쳤고 같은 지시문을 새로 만든 문서에도 다시 숨겨 넣었어요. 그래서 감염된 사내 문서가 그 자체로 새 전파원이 돼, 원본 악성 파일이 없어진 뒤에도 문서를 다시 쓸 때마다 계속 번져요. 3월 6일 MSRC에 신고한 뒤 144일 동안 마이크로소프트가 두 차례 손보고 모델도 GPT-5.5로 올렸지만, 문구만 바꾸니 다음 날 GPT-5.6에서 그대로 재현됐어요.
용어 풀이
- MSRC
- 마이크로소프트 보안 대응 센터. 취약점 신고를 접수하고 공개 시점을 조율하는 창구
- XPIA
- 교차 도메인 프롬프트 주입. 문서·메일 등 외부 자료에 숨긴 문장으로 AI에 명령을 집어넣는 공격
- M365
- 마이크로소프트 365. 워드·엑셀·팀즈 등을 묶은 업무용 구독 제품군
- CVE
- 공개 취약점 식별 번호. 알려진 보안 결함에 붙는 국제 공통 일련번호
운영자 인사이트
사내에 M365 코파일럿을 열어 뒀다면 이제 '외부에서 받은 문서'만이 아니라 '코파일럿이 만든 사내 문서'까지 신뢰할 수 없는 입력으로 봐야 해요. 지금 쓸 수 있는 건 끌 수 있는 관리자 설정이 아니라 사람 검토뿐이라, 숨김 서식·보이지 않는 글씨 검사를 문서 반입 단계에 붙이는 게 현실적인 1차 방어예요.
여러 관점으로 보기
- 마이크로소프트 공식 입장 대 연구자 반박 마이크로소프트는 '연구자가 알린 사항을 처리했고 여러 지점에서 악성 지시를 막는 다층 방어를 쓴다'고 밝혔지만, 연구자는 '모델 교체를 포함한 두 번의 완화 시도가 이 공격 유형 자체는 닫지 못했다'고 맞섰어요. The Register
- 재현 조건과 패치 상태 점검 클릭 없이 저절로 터지는 공격은 아니고 코파일럿으로 초안을 쓰거나 편집할 때 성립하는데, 문서를 첨부하지 않아도 Work IQ가 원드라이브에서 알아서 끌어오면 걸리고, 공개된 CVE 번호나 단독 권고문은 아직 없어요. The Hacker News
- 전문가 평가 — 무엇이 새로운가 사이먼 윌리슨은 숨긴 글씨로 지시를 주입하는 XPIA 자체는 흔해졌지만 '지시문을 일부러 복사해 스스로 퍼지게 만든 사례는 처음 본다'며, 이 유형 전체를 덮는 완화책은 없다고 평했어요. Simon Willison
- 해커뉴스 반론 — 과장인가 댓글 291개에서는 '주입 기법 자체는 새롭지 않고 자기 복제 부분만 새롭다', 'SQL 주입과 같은 오래된 문제 유형이다'라는 지적과 함께, 모델이 지시와 데이터를 못 가르는 한 구조적으로 못 막는다는 의견이 우세했어요. Hacker News