이메일 한 통으로 AI 메모리 오염... AI 에이전트 노린 ‘멤고스트’ 주의보

요약 : 싱가포르 난양공과대학교(NTU) 보안 연구진이 AI 비서에 이메일만으로 가짜 기억을 심어 답변을 조종하는 신종 공격 「멤고스트(MemGhost)」를 「스텔스 메모리 주입(Stealth Memory Injection)」 방식으로 명명하고 논문을 아카이브(arXiv)에 6일 게재했으며, 사용자가 직접 지시하지 않아도 예약된 「하트비트 지침」에 따라 구동되는 백그라운드 프로세스가 공격 메일을 읽어 에이전트가 스스로 「MEMORY.md」 등 지속성 파일에 가짜 사실을 기록하는 「영구 워크스페이스」의 구조적 허점을 파고드는 방식으로, GPT-5.4 기반 「오픈클로우(OpenClaw)」에서 87.5%, 클로드 소네트 4.6에서 71.4%의 높은 공격 성공률을 기록하고 메일 차단 필터를 90% 이상 우회하며 사용자가 추궁해도 25% 확률로 침해 흔적을 은폐할 만큼 정교했지만, 오픈클로우 측은 이를 보안 정책상 결함으로 인정하지 않고 직접 패치 대신 미검증 메일을 읽기 전용 에이전트로 격리하는 아키텍처를 권고하는 데 그쳤으며, 연구진은 외부 메시지가 사용자 승인 없이 AI 내부 콘텍스트로 둔갑하는 것을 막기 위해 출처 태깅과 감사 로그 의무화가 필요하다고 강조했다는 것이 기사의 주된 메시지입니다.

느낀점/소감 : 오픈클로우에서는 프롬프트 인젝션을 보안 패치로 안본다는게 맞는말이면서도 좀 애매하다 결국 간접 프롬프트 인젝션이나 이런 기법들도 실제로 조건만 갖추어진다면 충분히 위협적인 취약점인데 왜 인정을 안하는지 궁금하다.