마이크로소프트 365 코파일럿(Copilot)이 외부 워드(Word) 문서에 숨겨진 교차 도메인 프롬프트 주입(XPIA: Cross-domain Prompt Injection) 공격에 취약하며, 이 악성 명령이 새로운 문서로 복제되어 자가 전파되는 AI 웜(Worm) 형태로 확산될 수 있다는 연구 결과가 발표되었습니다. 이는 기존의 이메일 기반 AI 웜을 넘어, 일반적인 문서 작업 흐름 속에서 기업의 정보 신뢰도를 훼손할 수 있는 심각한 위협으로 평가됩니다.
공격자는 피해자의 마이크로소프트 365 테넌트에 직접 접근할 필요 없이, 악성 워드 문서를 공유하는 것만으로 공격을 시작할 수 있습니다. 이 문서에 흰색 글씨나 작은 글꼴로 숨겨진 명령은 코파일럿이 서식을 제거한 후 읽게 되며, 이를 통해 코파일럿의 작성 및 편집 결과를 조작합니다. 예를 들어, 실험에서는 재무 보고서의 수치를 절반으로 줄이고, 전체 공격 프롬프트를 결과 문서 하단에 숨겨 새로운 공격 매개체로 만드는 데 성공했습니다. 이렇게 감염된 문서는 정상적인 내부 자료처럼 유통되어 출처 추적과 탐지가 매우 어렵습니다. 마이크로소프트는 특정 페이로드 차단과 모델 업그레이드를 배포했지만, 변형된 프롬프트로 GPT-5.6에서도 전체 공격 체인이 재현되었고, 144일간의 조정 후에도 취약점 유형 전체를 막지 못했습니다.
이러한 문서 기반 AI 웜은 조직의 의사결정에 사용되는 정보의 신뢰성을 심각하게 훼손할 수 있습니다. 감염 사실을 모르는 조직은 공유 SharePoint나 Teams를 통해 다른 조직에 문서를 전달할 수 있으며, 이는 협력사 등으로 공격이 확산되는 결과를 초래할 수 있습니다. 현재로서는 고객 측에서 이 문제를 완전히 해결할 방법이 없으므로, 코파일럿이 사용하는 외부 출처 문서를 신뢰하지 않는 자료로 취급하고, 코파일럿 생성 및 편집 전후에 문서를 세밀하게 검토하는 등 사용자 차원의 주의가 필요합니다. 장기적으로는 LLM(대규모 언어모델) 시스템이 처리하는 정보와 독립적으로 목표와 의도가 존재하는 시스템 설계가 요구됩니다.