출시 2주 만에 280만 다운로드 뮤즈, 보안 취약점 적발

출시 2주 만에 280만 다운로드 뮤즈, 보안 취약점 적발

메타의 개인용 AI 에이전트 뮤즈가 출시 2주 동안 약 280만 건 다운로드를 기록했으나, 개인 데이터가 저장된 클라우드 가상머신에 외부 공격자가 접근할 수 있는 보안 취약점이 발견됐다. 26일(현지시간) 미 IT 전문매체 디인포메이션이 메타 내부 사고 보고서를 인용해 보도했다.

문제가 된 것은 각 이용자에게 할당되는 전용 클라우드 가상머신이다. 이곳에는 이메일과 파일 등 개인 데이터가 저장된다. 발견된 취약점을 악용하면 공격자가 이 데이터에 접근할 수 있었으나, 실제 공격이 성공하려면 이용자가 뮤즈에게 악성 웹페이지 링크를 요약하도록 요청한 뒤 안전 경고가 포함된 허용 버튼을 직접 눌러야 했다.

이 취약점은 외부 보안 연구원이 메타의 버그 바운티 프로그램을 통해 신고했다. 메타는 당초 이를 5단계 중 두 번째로 높은 심각도인 SEV-2로 분류했으나, 이후 SEV-3으로 재분류했다. 메타의 대응은 뮤즈에서 악성 웹사이트 접속 시 경고 메시지를 더 눈에 띄게 표시하는 방식으로 진행 중이다.

클라우드 취약점과 별개로, 맥OS 앱에서도 보안 문제가 발견됐다. 보안 연구원 패트릭 워들은 21일 맥OS 뮤즈 앱에서 권한 없는 로컬 프로세스가 받아쓰기 트래픽을 공격자 서버로 우회시킬 수 있는 제로데이 취약점을 공개했다. 메타는 22일 핫픽스를 배포해 대응했다.

메타는 뮤즈의 버그 바운티 프로그램을 일반에 공개했다. 유효한 취약점 신고에 최대 30만 달러(약 4억 원)를, 프롬프트 인젝션 성공 시 최대 13만 달러를 지급할 방침이다. 메타는 "뮤즈는 공격에 완전히 면역된 것은 아니며, 문제 발생 시 영향을 최소화하고 이용자가 상황을 통제할 수 있도록 설계했다"고 밝혔다.

올해 내 이용자의 가상머신 데이터에 메타 자신도 접근할 수 없도록 암호화한 뮤즈 컨피덴셜 VM을 출시할 계획도 공개했다. 뮤즈는 이달 초 출시된 AI 에이전트로, 이용자를 대신해 쇼핑·여행 예약·이메일 발송·결제 같은 작업을 수행한다. 출시 후 미국과 캐나다 앱스토어에서 무료 앱 1위에 올랐을 정도로 인기를 끌고 있다.

이용자의 계정과 결제 수단이 직접 연결되는 구조여서 보안이 서비스의 핵심 조건으로 꼽혀 왔다. 이번에 연달아 드러난 보안 결함은 AI 기술의 빠른 발전 속도만큼 보안에 대한 철저한 대비의 필요성을 시사한다.