숨은 지시문 PDF로 로보 내부문서 유출 가능성 제기

아틀라시안(Atlassian)의 AI 비서 로보(Rovo)가 PDF에 숨겨진 지시문에 조종돼 지라(Jira) 티켓과 컨플루언스(Confluence) 문서를 외부로 보낼 수 있다는 보안업체의 주장이 나왔다. 업무 문서를 읽고 도구까지 실행하는 AI 에이전트의 권한 통제 방식에 대한 우려가 커지고 있다.

보안업체 프롬프트아머(PromptArmor)는 사용자가 숨은 문구가 들어간 PDF를 로보에 올리면 로보가 이를 문서 내용이 아닌 명령으로 받아들여 공격자 URL로 정보를 전송할 수 있다고 주장했다. 디크립트(Decrypt)는 10일 이를 사용자의 추가 승인 없이 작동하는 ‘제로클릭 공격’이라고 전했다.

공격자는 PDF에 투명색 글자나 1픽셀 크기의 문구를 넣어 사람의 눈에 보이지 않게 만든다. 사용자가 이 파일을 로보에 올리고 지라 티켓 정리 같은 작업을 맡기면 AI가 숨은 문구를 지시로 처리할 수 있다는 설명이다.

프롬프트아머는 로보의 웹 검색 기능을 꺼도 URL을 여는 도구가 남아 있어 정보 유출 경로가 유지됐다고 주장했다. 다만 공격의 성패는 파일 처리 방식과 참조 가능한 콘텐츠, 도구 호출 범위가 맞물리는지에 따라 달라질 수 있다.

아틀라시안 공식 지원 문서는 로보 챗이 사용자가 올린 파일을 업무 맥락으로 참조할 수 있다고 설명한다. 로보는 PDF와 DOC, JSON, CSV, PPT 등 문서·스프레드시트·프로그래밍 파일 형식을 읽을 수 있다.

아틀라시안은 4월 클라우드 변경 내역에서 로보 챗에 업로드한 PDF와 텍스트 파일, 이미지의 미리보기 기능을 추가했다고 밝혔다. 사용자가 업무 자료를 곧바로 확인하고 AI 작업에 활용할 수 있도록 한 기능이다.

문서를 읽는 기능은 정보 검색과 요약의 효율을 높이지만 외부 콘텐츠가 AI의 행동에 영향을 줄 가능성도 키운다. 특히 문서 입력과 URL 접근 같은 도구 호출이 연결되면 단순한 답변 오류가 실제 데이터 전송으로 이어질 수 있다.

로보는 지라와 컨플루언스, 연결된 외부 앱의 정보를 사용자의 권한 안에서 참조하도록 설계됐다. 아틀라시안은 로보가 기존 권한과 접근통제를 준수하며 입력과 출력을 제3자 대형언어모델(LLM) 학습에 사용하지 않는다고 밝히고 있다.

그러나 접근 권한과 프롬프트 인젝션 방지는 서로 다른 통제 영역이다. 사용자가 열람할 수 있는 자료에 악성 지시가 숨어 있으면 AI가 허용된 권한 안에서 의도하지 않은 행동을 할 수 있다.

프롬프트아머는 이를 ‘간접 프롬프트 인젝션’으로 분류한다. 사용자가 채팅창에 직접 명령을 입력하는 대신 웹페이지와 이메일, PDF, 데이터베이스 같은 외부 콘텐츠에 지시문을 숨겨 AI의 행동을 바꾸는 공격 방식이다.

아틀라시안 생태계에서도 관련 논의가 이어졌다. 프롬프트 인젝션 공격을 관리자 감사 로그에 기록하자는 지라 이슈 ‘ROVO-576’은 2월 3일 생성됐으며 현재 해결되지 않은 상태다.

아틀라시안 커뮤니티에는 4월 숨은 악성 지시문이 로보를 속일 수 있는지를 다룬 글이 게시됐다. 6월에는 프롬프트 인젝션과 민감정보 노출을 언급한 보안 질문도 올라왔다.

아틀라시안은 6월 공개한 로보 보안 백서 소개 글에서 AI 위협 탐지·대응 범위에 프롬프트 인젝션과 비정상 접근 패턴을 포함한다고 설명했다. 다만 이번 프롬프트아머의 주장과 관련한 공식 패치 공지나 취약점 인정은 확인되지 않았다.

국내 기업도 로보 같은 AI 비서를 도입할 때 파일 업로드 정책과 외부 URL 접근 권한, 도구 실행 범위, 관리자 감사 로그를 함께 살펴야 한다. 지라와 컨플루언스처럼 개발 일정과 고객 대응, 내부 정책이 모이는 협업 도구에서는 문서 열람 권한뿐 아니라 AI가 해당 문서를 읽은 뒤 실행할 수 있는 행동까지 구분할 필요가 있다.

본지는 앞서 여러 하위 에이전트가 도구를 사용하는 AI 구조에서 권한 관리와 도구 호출 통제가 핵심 과제로 제시됐다고 전한 바 있다. 이번 사례는 기업용 AI의 데이터 비학습 정책과 별개로 파일 입력, 외부 URL 호출, 감사 기록을 각각 통제해야 한다는 점을 보여준다.