메타가 야심 차게 내놓은 범용 AI 에이전트 'Muse'가 대화 공유 기능을 통해 사용자의 개인·업무 정보를 외부에 노출시킨다는 지적이 나왔다. 보안업체 Claroc 연구진의 보고에 따르면, 사용자가 대화를 공유하려고 만든 링크들이 손쉽게 발견될 수 있는 구조였다. 메타는 Ars Technica의 문의에 대해 문제를 검토하고 변경 여부를 판단하는 동안 공유 기능을 일시 중단한다고 밝혔다.
많은 온라인 서비스가 그렇듯 Muse도 검색 결과, 대화, 이미지 등을 다른 사람과 공유할 수 있게 해준다. 보통 이런 기능은 고유한 URL을 생성해 링크를 가진 사람만 내용을 볼 수 있도록 하고, 의도치 않은 사람이 접근하지 못하도록 추측하기 어려운 긴 문자열을 URL에 넣는다. 마크 저커버그가 지난달 Muse를 두고 "프라이버시와 보안을 처음부터 염두에 두고 만들었다"고 말한 만큼 Muse 역시 같은 방식을 취하는 것처럼 보였다. 그러나 URL을 구성하는 핵심 설계 결정 하나가 이 전제를 무너뜨렸다.
제목을 서브도메인에 넣은 설계의 함정
문제의 뿌리는 Muse의 모든 공유 링크가 cf.metaaiusercontent.com이라는 단일 도메인을 쓰고, 여기에 대화 제목을 '경로(path)'가 아니라 '서브도메인'에 붙였다는 점이다. 예컨대 home-sale-budget-9f21c8a3.cf.metaaiusercontent.com, q3-revenue-review-7b1e42f0.cf.metaaiusercontent.com, loan-application-draft-a4c9e2.cf.metaaiusercontent.com처럼 집 매매 예산, 분기 매출 검토, 대출 신청서 초안 같은 내용이 주소 그 자체에 그대로 드러난다.
서브도메인은 DNS가 해석하는 대상이기 때문에, 공유 대상자가 링크를 한 번 클릭하는 순간 해당 도메인 해석 기록이 공개 DNS에 남는다. 공격자는 특별한 침투 없이도 상용 패시브 DNS 서비스에서 쿼리 한 번으로 이 기록을 검색할 수 있다. 패시브 DNS는 도메인과 IP의 과거 해석 내역, 네임서버·메일서버 기록 등을 시간 순으로 저장해 두는 시스템으로, 원래는 위협 분석 용도로 쓰인다. Claroc은 이 방식으로 사용자들이 만든 공유 링크 6,800개를 열거해냈고, 그중 수백 개를 열어본 결과 공개될 의도가 전혀 없었던 정보들을 확인했다. 연구진은 "미리 물었다면 이걸 모으는 데 상당한 노력이 들 거라 짐작했을 것이다. 실제로는 쿼리 한 번이면 됐다"고 적었다.
'GhostShares'라는 이름이 가리키는 것
Claroc은 이 현상을 'GhostShares'라 부른다. 링크를 건네받은 적이 없는 사람에게도 열리고, 그 사람이 스스로 찾아낼 수도 있는 페이지라는 의미다. 연구진은 공개 링크로 공유하는 AI 비서는 많지만, Muse가 유독 발견되기 쉬운 이유는 제목이 웹 주소 안에 들어앉아 공개 DNS에 기록되기 때문이라고 짚었다. 긴 무작위 문자열이라는 안전장치가 있어도, 그 옆에 붙은 사람이 읽을 수 있는 제목이 검색의 미끼가 되는 셈이다.
메타는 성명에서 "연구자들이 다양한 시나리오를 제기하고 제품 개선을 돕도록 Muse 버그 바운티 프로그램을 열었다"며 "사용자는 특정 Muse 산출물을 공유해 링크 보유자가 접근 가능한 페이지를 만들 수 있지만, 이번 보고를 검토하고 링크가 발견되는 방식을 바꿀지 고려하는 동안 해당 기능을 중단했다"고 밝혔다. Claroc 공동창업자 겸 CTO인 아사프 아프로즈퍼는 10월 8일 버그 바운티로 문제를 신고하고 링크드인으로도 메타 관계자들에게 연락을 시도했으나 어느 쪽에서도 답을 받지 못했다고 전했다.
과도한 권한에 대한 신뢰 문제
이번 사안이 더 민감한 이유는 Muse가 요구하는 접근 권한의 폭 때문이다. Muse는 애플 앱스토어 상위권에 빠르게 올랐고, 양식 작성, 예약, 구매, 문서 생성 등 여러 작업을 자율적으로 수행한다. 이렇게 동작하려면 사용자 계정 대부분에 접근해야 하며, 메타는 이 비서를 그만한 신뢰를 받을 만한 플랫폼으로 대대적으로 홍보해왔다. 출시 3주 뒤 macOS 보안 전문가 패트릭 워들은 같은 기기에 설치된 다른 앱이 사용자의 Muse 계정을 완전히 장악할 수 있는 제로데이 취약점을 발견했는데, 메타는 기기가 이미 감염된 경우에만 악용이 가능하다며 심각성을 낮춰 설명했고 간단한 ClickFix 공격만으로 계정 탈취가 가능하다는 지적은 인정하지 않았다.
국내 실무자 관점에서 이 사례의 교훈은 분명하다. 공유 URL 설계에서 사람이 읽을 수 있는 식별자를 서브도메인처럼 DNS가 노출하는 위치에 두면, 아무리 긴 난수를 붙여도 기밀성이 보장되지 않는다는 점이다. 민감 정보를 다루는 공유 링크라면 식별자를 경로나 쿼리 파라미터에 두고, 접근 시 인증·만료·열람 로깅을 전제하는 편이 안전하다. 다만 현재 알려진 것은 메타의 기능 중단과 Claroc의 발견 방식까지이며, 구체적으로 어떤 정보가 얼마나 유출됐고 악의적 열람이 있었는지는 공개되지 않았다는 한계도 함께 염두에 둘 필요가 있다. 공유 기능 중단으로 당장 이 위협은 사라졌지만, 에이전트에 권한을 몰아주는 제품이 과연 그 신뢰에 걸맞은지는 여전히 숙제로 남는다.