“기업 AI 확산에 공격 표면 확대…확장 프로그램도 보안 변수”

기업의 인공지능(AI) 도입이 빠르게 확산하면서 브라우저와 통합개발환경(IDE) 확장 프로그램, 섀도 AI, 자율형 AI 에이전트 등이 새로운 보안 변수로 떠오르고 있다.

아카마이 테크놀로지스는 10일 '2026년 기업 AI 사용 리스크 보고서'를 통해 AI 확장 프로그램의 약 75%가 높은 수준 또는 필수 권한을 요구하고, 16.3%는 알려진 공통 취약점 및 노출(CVE)을 포함하고 있다고 밝혔다.

이는 AI 도입이 실험 단계를 넘어 기업 업무 전반으로 확산하면서 기존 데이터 손실 방지(DLP) 체계만으로는 민감정보 유출을 막기 어려워지고 있다는 설명이다.

보고서는 개발 환경과 브라우저, 웹페이지를 악용하는 새로운 공격 기법도 제시했다. 개발자 환경의 지시 파일을 변조하는 '바이브(Vibe) 해킹', 브라우저 확장 프로그램을 통해 API 키와 코드 등을 수집하는 '커서재킹(CursorJacking)', 웹페이지에 악성 지시문을 삽입해 AI 에이전트를 조작하는 '코멧재킹(CometJacking)' 등이다.

아카마이는 △AI 고급 사용자 집중 관리 △섀도 AI 통제 △실시간 상호작용 검사 △브라우저·IDE 확장 프로그램 점검 △AI 에이전트 최소 권한 적용 등 5가지 대응 전략을 제시했다.

오르 에셰드 아카마이 엔터프라이즈 보안 제품 및 엔지니어링 부문 부사장은 “AI를 단순히 차단하기보다 상호작용 레이어에서 작동 방식을 지속적으로 통제하고 관리해야 한다”고 말했다.

박진형 기자 jin@etnews.com