AI에게 웹페이지를 읽거나 이메일을 정리해 달라고 맡겼을 때, 그 자료에 들어 있는 문장이 AI의 행동을 바꿀 수 있습니다. 외부 자료 속 지시를 사용자의 요청으로 잘못 받아들이는 ‘프롬프트 인젝션’ 때문입니다.

질문에 답하는 AI에 브라우저 조작 기능이 더해지면 이 문제가 영향을 미치는 범위도 넓어집니다. 답변 내용이 달라지는 데 그치지 않고, 접근 권한에 따라 다른 페이지를 열거나 정보를 입력하고 메시지를 보내는 행동으로 이어질 수 있습니다.

그렇다고 AI가 웹사이트를 방문할 때마다 개인정보가 유출된다는 뜻은 아닙니다. 공격 문장이 있는지, AI가 이를 따르는지, 어떤 계정과 기능에 접근할 수 있는지가 함께 작용합니다. AI 브라우저를 이해할 때는 답변 성능과 함께 이 권한 범위를 살펴볼 필요가 있습니다.

──────────────────

【 프롬프트 인젝션이란 무엇인가요? 】

프롬프트 인젝션은 AI가 처리하는 입력에 지시를 끼워 넣어, 원래 맡긴 일에서 벗어나도록 유도하는 방식입니다.

일반 사용자가 접하기 쉬운 형태는 ‘간접 프롬프트 인젝션’입니다. 사용자가 직접 명령하는 대화창 대신 웹페이지, 이메일, 문서처럼 AI가 참고하는 자료에 지시가 들어갑니다.

예를 들어 사용자가 여러 제품의 장단점을 비교해 달라고 요청했다고 가정하겠습니다. AI가 읽는 판매 페이지에 특정 제품만 추천하도록 유도하는 문구가 있다면, 그 문구는 제품의 사양이나 가격을 설명하는 자료와 성격이 다릅니다. 자료를 읽는 AI의 답변 방향을 바꾸려는 지시입니다.

문제는 AI가 이 둘을 제대로 구별하지 못할 때 발생합니다. 사용자가 원하는 것은 판매 페이지의 정보를 활용한 비교인데, 판매자가 넣어 둔 지시를 따르면서 추천이 왜곡될 수 있습니다.

구글은 2026년 4월 공개 웹 조사에서 AI의 말투를 바꾸려는 장난, 특정 사업자를 우선 소개하도록 유도하는 문구, 정보 탈취나 파괴를 시도하는 문구 등을 관찰했다고 밝혔습니다. 다만 공격 시도를 발견했다는 사실과 실제 공격이 성공했다는 사실은 구별해야 합니다.

──────────────────

【 AI 환각과는 어떻게 다른가요? 】

AI 환각은 사실과 다른 내용을 그럴듯하게 만들어 내는 현상입니다. 존재하지 않는 자료를 출처로 제시하거나, 확인되지 않은 내용을 확정적으로 설명하는 경우가 여기에 해당합니다.

프롬프트 인젝션은 외부에서 들어온 지시가 AI의 답변이나 행동에 영향을 주는 문제입니다. 결과가 틀렸다는 점은 비슷해 보여도 원인이 다릅니다.

이 차이는 대응 방법에도 영향을 줍니다. 잘못된 정보라면 원문과 수치를 대조하는 확인 과정이 도움이 됩니다. 외부 지시 때문에 AI가 다른 행동을 하려는 상황이라면 사실 확인과 함께 접근 권한, 전송 대상, 실행할 작업을 확인해야 합니다.

외부 자료에 이상한 문장이 있다고 해서 언제나 공격인 것도 아닙니다. 보안 교육 문서에는 공격 사례를 설명하는 문구가 들어갈 수 있습니다. 구글 역시 조사 과정에서 교육·연구 자료가 공격으로 잘못 탐지되는 경우를 설명했습니다. 특정 단어의 포함 여부만으로 문서 전체의 위험성을 판단하기 어려운 이유입니다.

──────────────────

【 브라우저를 조작하는 AI에서 영향이 커지는 이유 】

브라우저 AI는 웹페이지를 읽는 동시에 버튼을 누르거나 입력란을 채울 수 있습니다. 읽는 자료의 범위와 수행할 수 있는 행동이 함께 늘어납니다.

공격자가 영향을 주려는 대상도 달라집니다. 검색 요약에서는 특정 내용을 답변에 넣도록 유도할 수 있고, 업무를 수행하는 에이전트에서는 사용자가 요청하지 않은 전송이나 수정으로 방향을 돌리려 할 수 있습니다.

실제 피해 가능성은 AI가 가진 권한에 따라 달라집니다. 공개 페이지를 읽기만 하는 환경과 회사 이메일·공유 문서에 접근할 수 있는 환경은 같은 조건이 아닙니다. 외부로 정보를 보낼 기능까지 사용할 수 있다면, 자료를 읽는 과정에서 생긴 오류가 다른 서비스의 행동으로 연결될 여지가 생깁니다.

이것은 가능한 위험 경로를 설명한 것이며, 모든 AI 브라우저가 같은 기능이나 권한을 가진다는 뜻은 아닙니다. 사용하는 서비스에서 읽기, 수정, 전송을 각각 어디까지 허용하는지 확인하는 편이 정확합니다.

──────────────────

【 보안 기능이 있어도 권한 설정이 필요한 이유 】

AI 서비스는 모델 훈련 외에도 외부 입력 검사, 실행할 행동 검사, 사이트 접근 제한, 사용자 승인 같은 보호 장치를 적용합니다.

Anthropic의 Claude in Chrome 안내는 입력 내용과 실행 행동을 검사한다고 설명하면서도 위험이 완전히 사라지는 것은 아니라고 명시합니다. 따라서 서비스가 제시한 공격 방어 성능을 모든 사이트와 작업에서의 안전 보장으로 해석할 수는 없습니다.

특히 연구에서 측정한 공격 성공률은 사용 모델, 방어 설정, 공격 방식, 평가 환경에 영향을 받습니다. 그 수치를 일반 사용자의 개인정보 유출 확률로 그대로 바꾸는 것은 적절하지 않습니다.

일상적인 사용에서는 AI가 처리할 자료와 실행할 행동을 구체적으로 정하는 것이 도움이 됩니다. 가령 ‘메일을 정리해 줘’보다 ‘오늘 받은 배송 관련 메일을 읽고 요약해 줘. 답장이 필요하면 초안을 작성해 줘’라고 맡기면 작업 범위가 분명해집니다. 이는 요청의 모호함을 줄이는 방법이며, 악성 지시를 완전히 차단하는 보안 장치를 대신하지는 않습니다.

──────────────────

【 개인정보를 보호하려면 무엇을 바꾸면 될까요? 】

먼저 작업에 필요한 계정과 사이트만 연결하는 방식이 현실적입니다. 공개 자료 조사에 금융 계정이나 고객 정보가 담긴 업무 시스템까지 연결할 이유는 없습니다.

브라우저 프로필을 분리하는 방법도 있습니다. AI 작업용 프로필에는 필요한 서비스만 로그인하고 민감한 계정은 별도 프로필에서 사용하는 식입니다. Anthropic 역시 민감한 계정에 접근할 수 없는 별도 브라우저 프로필을 권고합니다. 이 방법은노출 범위를 줄이는 데 도움이 되지만, AI 작업용 프로필 안에서 일어나는 모든 문제를 막아 주지는 않습니다.

이메일 발송, 게시물 공개, 파일 공유처럼 다른 사람이나 외부 서비스에 영향을 주는 작업은 실행 전에 내용을 검토하는 과정이 유용합니다. 확인할 대상은 AI가 설명한 작업 목적뿐 아니라 실제 수신자, 첨부파일, 공개 범위, 입력 내용입니다.

요청과 무관한 사이트로 이동하거나 예상하지 못한 개인정보를 요구하는 행동이 보이면 작업을 중지하고 진행 내역을 확인하는 편이 좋습니다. 단순한 작업 오류일 수도 있지만, 원래 요청에서 벗어났다는 사실 자체가 점검할 이유가 됩니다.

──────────────────

【 화면에 보이는 정보도 AI 입력이 될 수 있습니다 】

개인정보 보호는 대화창에 무엇을 직접 입력했는지만으로 판단하기 어렵습니다. 브라우저 조작 도구는 화면을 이해하기 위해 스크린샷을 사용할 수 있기 때문입니다.

Claude in Chrome의 공식 안내는 작업 중인 탭의 스크린샷에 보이는 정보가 대화의 일부가 될 수 있다고 설명합니다. 따라서 고객 명단, 내부 매출 자료, 개인 연락처가 열린 화면에서 도구를 실행한다면 해당 정보도 입력에 포함될 수 있습니다.

이 설명을 모든 AI 서비스에 똑같이 적용할 수는 없습니다. 도구마다 페이지 내용을 읽는 방식과 화면을 처리하는 방식이 다르므로, 사용하는 기능의 안내를 확인해야 합니다.

업무에서는 필요한 부분만 남긴 자료를 따로 준비하는 방식이 도움이 됩니다. 문구 수정이 목적이라면 고객의 이름과 연락처를 제외한 원고를 제공하고, 매출 비교가 목적이라면 분석에 필요하지 않은 개인 식별 정보를 제거하는 식입니다.

AI에게 맡길 작업이 정해졌다면, 그 작업에 필요한 자료와 접근 권한도 함께 정할 수 있습니다. 브라우저 전체에 넓은 접근 권한을 주기 전에 어느 페이지를 읽고 어떤 결과물을 만들지 구체화하면 검토할 범위도 작아집니다.​