xAI의 그록에 웹페이지 요약을 맡기는 것만으로 현재 대화의 정보가 외부 서버로 전송될 수 있는 취약점이 확인됐다. 보안업체 Adversa AI는 공격자가 웹페이지 안에 암호문과 복호화 지시를 숨기면 그록이 자체 파이썬 환경에서 이를 풀고, 세션 정보가 담긴 URL을 호출했다고 밝혔다. 이름과 위치, 구독 등급, 현재 대화 기록이 노출 대상에 포함됐다. Adversa AI의 8월 20일 공개 보고서에 따르면 공격 코드는 공개하지 않았고 실제 악용 사례도 확인되지 않았다.
연구진은 이 방식을 ‘암호화 컨텍스트 인젝션’이라고 불렀다. 일반적인 콘텐츠 필터는 암호화된 문자열에서 위험한 지시를 찾지 못한다. 그록이 실행 단계에서 문자열을 복호화한 뒤에야 공격 명령이 나타나기 때문에 입력 검사만으로 막기 어렵다. Adversa AI는 6월 3일 xAI와 해커원에 문제를 신고했으나, 8월 20일 보고서 공개 시점까지 수정이나 보안 공지가 없었다고 적었다. 테스트한 Grok 4.5 Fast에서는 20회 중 8회가 성공했다는 것이 연구진의 설명이다.
공개된 시험 범위에서는 다른 대화방이나 장기 메모리까지 읽힌다는 증거는 없었다. 다만 사용자가 별도 클릭을 하지 않아도 요약 요청만으로 외부 호출이 일어났다는 점이 문제다. 같은 보고서는 제미나이에서도 암호화 페이로드로 안전장치를 우회할 수 있었다고 덧붙였다. 제미나이는 여름 동안 필터가 강화돼 성공률이 낮아졌지만 완전히 닫히지는 않았다는 평가다.
| 확인 항목 | 보고서 내용 | 확인 범위 |
|---|---|---|
| 신고일 | 2026년 6월 3일 | xAI·해커원 접수 |
| 시험 결과 | 20회 중 8회 성공 | Grok 4.5 Fast |
| 노출 범위 | 현재 대화와 세션 정보 | 다른 대화·메모리는 미확인 |
대응의 초점은 모델 답변 필터보다 실행 권한에 맞춰야 한다. 외부 문서를 신뢰하지 않는 영역에서 처리하고, 모델이 URL을 열거나 데이터를 전송할 때 목적지와 전송 내용을 검사해야 한다. 민감한 세션 값은 모델 실행 환경에 넘기지 않고 외부 통신에는 사용자 승인을 요구하는 방식이 현실적인 방어선이다. 이번 사례는 요약 기능도 읽기 전용 작업으로 볼 수 없음을 보여준다.
저작권자 © STORIUM 무단전재 및 재배포 금지
