아카마이 “AI 확장 프로그램 16.3%, 알려진 취약점 포함”

아카마이테크놀로지스(한국 대표 이경준)는 기업의 인공지능(AI) 사용이 확대되면서 관리되지 않는 AI 서비스와 브라우저 확장 프로그램, AI 에이전트를 통한 보안 위험이 커지고 있다고 10일 밝혔다.

아카마이는 인터넷 현황(SOTI) ‘2026년 기업 AI 사용 리스크 보고서(Enterprise AI Usage Risk Report 2026)’를 통해 기업의 AI 도입 방식과 이에 따른 보안 위험을 분석했다.

보고서는 기업의 AI 활용이 초기 실험 단계를 넘어 업무 환경에 빠르게 들어오면서 기존 보안 체계로 관리하기 어려운 영역이 늘고 있다고 분석했다. 기업이 공식적으로 관리하지 않는 ‘섀도 AI’와 개인 계정으로 사용하는 AI 서비스, 브라우저와 통합개발환경(IDE)에 설치하는 확장 프로그램 등이 대표적이다.

특히 AI 확장 프로그램의 약 75%는 높은 수준의 권한이나 필수 권한을 요구하는 것으로 조사됐다. 이 가운데 16.3%에서는 알려진 공통 취약점 및 노출(CVE)이 확인됐다. CVE는 공개된 소프트웨어 보안 취약점에 식별번호를 부여해 관리하는 체계다.

보고서는 AI를 겨냥한 공격 방식으로 ‘바이브 해킹(Vibe hacking)’, ‘커서재킹(CursorJacking)’, ‘코멧재킹(CometJacking)’도 제시했다.

바이브 해킹은 공격자가 개발 환경의 로컬 마크다운 지시 파일을 조작해 AI 코딩 도구가 보안에 취약한 결과물을 만들거나 의도하지 않은 작업을 수행하도록 유도하는 방식이다.

커서재킹은 악성 브라우저 확장 프로그램의 권한을 이용해 응용프로그램 인터페이스(API) 키와 소스코드, AI 대화 기록 등을 수집하는 공격이다. 커서(Cursor)와 같은 AI 코딩 도구가 공격 대상이 될 수 있다.

코멧재킹은 웹페이지에 악성 지시문을 삽입해 AI 에이전트가 이를 명령으로 받아들이도록 유도하는 간접 프롬프트 인젝션 공격이다. 아카마이는 퍼플렉시티(Perplexity)의 ‘코멧 AI(Comet AI)’와 같은 에이전트 기반 브라우저에서 로컬 파일이나 이메일, 세션 자격증명이 유출될 가능성이 있다고 설명했다.

아카마이는 기업이 AI 보안을 강화하기 위한 방안으로 ▲AI 사용량이 많은 사용자 집중 관리 ▲섀도 AI 식별과 통제 ▲AI 프롬프트와 문서 업로드 등 상호작용 단계 검사 ▲브라우저·IDE 확장 프로그램 점검 ▲AI 에이전트에 대한 최소 권한 적용과 행동 모니터링 등을 제시했다.

오르 에셰드(Or Eshed) 아카마이 엔터프라이즈 보안 제품·엔지니어링 부문 부사장은 “AI는 더 이상 단순한 생산성 향상 도구가 아니라 기업의 핵심 자산에 직접 접근하는 협업 파트너로 자리 잡았다”며 “보안 리더들은 AI를 단순히 차단하려는 접근에서 벗어나 상호작용 단계에서 AI의 작동 방식을 지속적으로 통제하고 관리하는 방향으로 전환해야 한다”고 말했다.

글. 바이라인네트워크
<곽중희 기자>god8889@byline.network