BragJack 공격, 브라우저 에이전트형 AI를 악용해 비밀 탈취 노출

브라우저 내 에이전트형 AI를 확장 프로그램이 장악해 비밀 탈취 가능성을 드러낸 BragJack 공격 사례

• Forever Security 연구원 Gal Weizman은 브라우저 내 에이전트형 AI를 악용하는 신규 공격인 ‘BragJack’을 제시하고 Google Chrome·Microsoft Edge·Opera Neon·Perplexity Comet·Claude in Chrome 등 5개 환경에서 비밀 탈취 가능성을 입증했다.
• BragJack은 기존 프롬프트 인젝션을 쓰지 않고 확장 프로그램과 브라우저 AI 에이전트 간 통신 구조의 설계 결함을 악용해 명령 채널을 완전히 장악하고, 공격자가 원하는 프롬프트를 반복 주입해 에이전트가 민감 정보를 가져오고 파괴적 작업까지 수행하게 만든다.
• Chrome/Gemini에서는 확장 프로그램이 Gemini 페이지에 직접 스크립트를 주입하지 못하지만 네트워크 요청을 변조해 자체 JavaScript로 브라우저 측 ‘바디’를 대체했고, 이를 통해 사용자 클릭 없이 스크린샷 촬영·로컬 파일 접근·카메라·마이크 활성화가 가능했다.
• Forever Security는 Google·Microsoft·Opera·Anthropic·Perplexity에 취약점을 통보해 총 20,000달러 이상 버그바운티를 받았고, Google은 최대 7,000달러·Anthropic은 최소 600달러를 지급했으며 Chrome·Edge에는 CVE-2026-0628·CVE-2026-55945가 부여돼 현재 취약점은 패치된 상태이다.
• Weizman은 브라우저 에이전트가 이메일·웹 서비스 등 인증된 자원에 무제한 접근해 정보 유출·콘텐츠 변조를 수행하는 시나리오가 현실화됐다고 경고하며, Chromium 기반 브라우저의 최신 버전 유지와 미검증 확장 프로그램 제거, AI 제공사와의 상호작용 로그 분석, 차세대 EDR 도입 등 조직 차원의 방어 전략을 제안했다.
• 에이전트형 브라우저가 수백만 사용자 환경에서 자동으로 시스템을 조작할 수 있음이 드러난 만큼, 한국은 공공·금융 웹 포털에 탑재되는 AI 에이전트에 대한 설계 기준과 확장 프로그램 검증·차세대 EDR 도입 지원, 브라우저 로그 기반 위협 헌팅 정책을 서둘러 마련해 국내 서비스가 동일한 구조적 취약성을 반복하지 않도록 해야 한다.

브라우저 내 AI 에이전트가 인증된 시스템을 자동 조작하는 구조는 사이버 공격 면을 급격히 확장한다. 한국 정책 담당자는 공공·금융 웹 서비스의 에이전트 도입을 인가제·설계 기준과 연계하고, 확장 프로그램 검증·로그 기반 탐지·차세대 EDR 투자 방향을 포함한 국가 가이드라인을 조기에 수립할 필요가 있다.

주요 용어: 에이전트형 브라우저(AI가 브라우저 내에서 자율 작업을 수행하는 구조), 브라우저 확장 프로그램(브라우저 기능을 추가하는 모듈로 취약 시 공격 통로가 되는 구성요소)

출처: Dark Reading