Comet·Atlas 써도 될까 — AI 브라우저 보안 위험 (2026)

"애플워치 하나 사줘." 사용자가 입력한 건 그 한 문장이 전부였다. 브라우저는 상점을 찾고, 배송지를 채우고, 카드번호까지 넣어 결제를 끝냈다. 그 상점이 보안 연구팀이 하루 만에 띄운 가짜 월마트였다는 게 문제였을 뿐.

Guardio Labs 가 2025년 8월 Perplexity Comet 에 걸어본 실험이다. 사람은 그 결제 화면을 한 번도 보지 않았다. 그로부터 1년, 판이 꽤 바뀌었다. OpenAI 의 ChatGPT Atlas 는 2026년 8월 9일 단종됐다. 그렇다고 이 질문이 같이 사라졌을까. 오히려 반대다.

진짜 위험은 머리가 아니라 사원증에 있다

챗봇에게 "이 링크 요약해줘"라고 시키는 것과, 브라우저에게 같은 말을 하는 것은 완전히 다른 일이다. 챗봇은 링크를 읽고 글자를 뱉는다. 에이전틱 브라우저는 이미 로그인돼 있는 탭들 사이에서 읽고 누른다.

인턴을 한 명 들였다고 해보자. 인턴이 똑똑한지 아닌지는 두 번째 문제다. 첫 번째 문제는 내가 그 인턴에게 사원증을 통째로 빌려줬다는 것이다. 그 카드로 열리는 문이 회의실뿐인지, 아니면 회계 시스템과 인사 파일까지인지. Brave 보안팀이 짚은 핵심도 정확히 이 지점이다. 탈취당한 에이전트는 사용자 본인의 인증 권한으로 은행·업무 메일에 접근한다.

여기서 브라우저만의 조건 세 가지가 겹친다. 인증된 세션을 이미 들고 있다는 것. 사용자가 그 순간 화면 앞에 없어도 작업이 진행된다는 것. 그리고 "내 지시"와 "남이 쓴 페이지"를 갈라줄 경계선이 애초에 설계에 없었다는 것. 셋 중 하나만 있어도 사고가 나는데, 에이전틱 브라우저는 기본값으로 셋을 다 켜고 시작한다.

클릭한 적 없는데 파일이 새나갔다

2025년 후반부터 2026년 봄까지 공개된 사례들을 나란히 놓으면 패턴이 보인다. 피해자가 수상한 걸 클릭한 경우가 거의 없다.

LayerX 가 CometJacking 이라 이름 붙인 건 좀 더 단순하다. URL 쿼리 파라미터에 지시문을 넣으면 Comet 이 그걸 작업 명령으로 해석했고, 민감정보 유출을 막는 필터는 base64 인코딩 한 겹으로 넘어갔다. 모델은 base64 를 읽지만 필터는 못 읽었기 때문이다.

Anthropic 의 Claude 크롬 확장도 예외가 아니었다. ShadowPrompt 는 확장이 *.claude.ai 하위 도메인이면 전부 허용하던 느슨한 origin 정책과, 캡차 컴포넌트의 DOM XSS 를 엮어 제로클릭 인젝션을 만들어냈다. 2025년 12월 27일 제보됐고 확장 1.0.41 에서 origin 을 정확히 일치하도록 조여 막았다.

공통점은 하나다. 사용자는 나쁜 걸 클릭하지 않았다. 평범한 걸 열었고, 나쁜 건 이미 그 안에 앉아 있었다.

Atlas 는 사라졌는데, 왜 아직 이 글이 필요한가

여기까지가 흔히 도는 이야기다. 그래서 결론이 "AI 브라우저 안 쓰면 되지"라면, 2026년 현재로선 한 발 늦은 대답이 된다.

Atlas 는 실제로 문을 닫았다. 다만 OpenAI 가 공지한 건 폐기가 아니라 이전이었다. 브라우저에서 하던 에이전트 작업을 ChatGPT 본체와 Codex 안으로 옮기고, 탭·다운로드·로그인 지원 같은 브라우저 기능을 그쪽에 붙이겠다는 것. 위험이 줄어든 게 아니라 이름표가 바뀐 셈이다.

숫자만 보면 더 헷갈린다. AI 브라우저를 전부 합쳐도 2026년 글로벌 점유율은 1~3% 수준이고, 크롬이 여전히 71~72% 를 쥐고 있다. 1% 짜리 걱정처럼 보인다. 그런데 브라우저를 갈아타야 하는 제품 대신 확장 프로그램 형태로 오면 이야기가 달라진다. Claude for Chrome 설치 수는 2025년 12월 약 4만에서 2026년 6월 1,000만 을 넘겼다.

벤더 3사의 대응 온도도 같지 않았다. 아래는 공개된 보고서와 각 사 공지를 그대로 정리한 것이다.

0.08% 를 어떻게 읽어야 할까. 낮다. 다만 이건 시행 횟수와 곱해야 하는 숫자다. 하루에 수십 개 페이지를 에이전트에 물린다면 분모가 계속 커진다. 확률이 작다는 건 사고가 안 난다는 뜻이 아니라, 언제 날지 모른다는 뜻에 가깝다.

그래서 어디까지 맡겨도 되나

"쓰지 마라"는 실행 가능한 조언이 아니다. 대신 작업을 세 칸으로 나눠 본다. 기준은 모델 성능이 아니라 그 탭에 무엇이 로그인돼 있고, 잘못되면 되돌릴 수 있는가 하나다.

• 초록 — 그냥 맡겨도 된다로그아웃 상태에서의 검색·요약·번역·가격 비교. 읽기 전용이고, 결과가 이상하면 내가 바로 알아챌 수 있는 일들. 에이전트가 헛소리를 해도 손해는 내 시간 5분이다.
• 노랑 — 보면서만로그인이 필요하지만 되돌릴 수 있는 것. 장바구니에 담아두기, 메일 초안 작성, 일정 후보 찾기. 화면을 켜 두고, 마지막 실행 버튼은 사람이 누른다.
• 빨강 — 맡기지 않는다결제·송금, 메일 발송, 파일 삭제나 공유 권한 변경, 비밀번호·OTP 입력. 회사 SSO 가 물린 탭도 여기다. 위 사례들이 전부 이 칸에서 터졌다.

칸을 나눴으면 운영 규칙은 네 줄로 끝난다.

1. 에이전트 전용 프로필을 따로 판다

   브라우저 프로필을 하나 더 만들고, 거기엔 은행·회사 메일·클라우드 드라이브를 로그인하지 않는다. 사원증을 새로 파되 열리는 문을 줄이는 방식이다. 가장 효과 대비 품이 적게 드는 조치.

2. "이 페이지 요약해줘"는 로그아웃 세션에서

   지금까지 보고된 공격의 최다 입구가 요약 기능이다. 남의 페이지를 통째로 모델에 먹이는 동작이니 당연하다. 요약은 권한 없는 창에서.

3. 확인 팝업을 끄지 않는다

   되돌릴 수 없는 동작 앞에서 뜨는 확인창은 귀찮으라고 있는 게 아니다. 자동 승인·"항상 허용"을 켜는 순간 노랑 칸이 빨강 칸으로 넘어간다.

4. 입력의 출처가 남의 손이면 의심한다

   메일, 캘린더 초대, 공유 문서, 붙여넣은 스크린샷. 실제 공격 벡터가 전부 여기였다. 내가 주소창에 직접 친 페이지와, 남이 보내온 무언가는 같은 신뢰도가 아니다.

조직 단위라면 개인 습관만으로는 부족하다. Perplexity 가 추가한 것처럼 관리자가 지정 사이트에서 에이전트를 끄는 정책부터 잡는 게 현실적이다. 국내에서는 과학기술정보통신부와 KISA 가 프롬프트 인젝션·권한 오남용을 포함한 AI 보안 위협 대응 안내서를 내놓았고, KISA 는 AI 에이전트 환경을 겨냥한 제로 트러스트 성숙도 모델을 준비 중이라고 밝혔다. 사내 기준을 새로 쓸 때 출발점으로 쓸 만하다.

맺으며 — 질문을 한 칸 옮기자

"이 브라우저, 안전한가요?"는 답이 안 나오는 질문이다. 벤더가 패치를 하나 막으면 우회가 하나 나오는 영역이고, OpenAI조차 완전히 풀리진 않을 거라고 말했다.

대신 이렇게 물어보면 답이 즉시 나온다. 지금 이 창에, 내 무엇이 로그인돼 있나. 그 목록이 곧 사고가 났을 때의 피해 범위다. 브라우저를 고르는 일이 아니라, 세션을 고르는 일이었던 셈이다.

당신이 오늘 에이전트에게 맡기려던 그 작업은 세 칸 중 어디에 있었나.

참고 — Brave: Unseeable prompt injections in screenshots · The Register: Comet 캘린더 초대 취약점 · OpenAI: Understanding prompt injections · Anthropic: Mitigating prompt injection in browser use