개인용 '클로드' 계정 탈취 공격 확인…회사 데이터도 노출 우려

(zdnet.co.kr)

ZDNet Korea2026년 9월 3일AI 모델

클로드의 세션 쿠키를 탈취해 2단계 인증을 우회하고 연결된 구글 워크스페이스 등 기업 데이터까지 노출시킬 수 있는 새로운 보안 위협이 발견되어 기업의 개인용 AI 계정 사용에 대한 경종을 울리고 있습니다.

이 글의 핵심 포인트

1인포스틸러 악성코드를 이용해 클로드의 로그인 세션 쿠키를 탈취하는 공격 확인
2탈취된 세션 쿠키를 통해 비밀번호와 2단계 인증(2FA)을 우회하여 계정 접근 가능
3개인용 클로드 계정에 연결된 구글 드라이브, 지메일 등 기업 데이터 노출 위험 존재
4앤트로픽은 피해 계정 로그아웃 및 결제 수단 삭제, 부정 결제 환불 조치 완료
5AI 에이전트의 외부 서비스 접근 권한이 장기간 유지되는 구조적 위험성 지적

이 글에 대한 공공지능 분석

왜 중요한가?

단순한 계정 탈취를 넘어 기존 보안의 핵심인 2단계 인증(2할 인증)을 우회하며, AI 에이전트의 확장된 권한이 기업 데이터 유출의 직접적인 통로가 될 수 있음을 보여줍니다.

어떤 배경과 맥락이 있나?

AI 서비스가 구글 워크스페이스 등 외부 클라우드 서비스와 강력하게 연동되는 '커넥터' 기능이 보편화되면서, AI 계정의 보안 수준이 곧 연결된 모든 서비스의 보안 수준과 직결되는 구조적 변화가 일어나고 있습니다.

업계에 어떤 영향을 주나?

기업들이 통제하기 어려운 'Shadow AI(직원 개인 계정 사용)'로 인한 보안 리스크가 가시화됨에 따라, AI 에이전트 도입 시 권한 관리와 접근 제어(IAM)에 대한 새로운 보안 표준과 관리 도구의 필요성이 증대될 것입니다.

한국 시장에 어떤 시사점이 있나?

클라우드 기반 협업 도구 의존도가 높은 한국 스타트업들은 개인 계정과 업무 계정의 엄격한 분리 정책을 수립하고, AI 연동 권한에 대한 정기적인 감사 및 해제 프로세스를 즉시 마련해야 합니다.

이 글에 대한 큐레이터 의견

이번 사건은 AI 에이전트 시대의 보안 패러다임이 '신원 인증(Authentication)'에서 '권한 관리(Authorization)'로 이동해야 함을 시사합니다. 과거에는 비밀번호와 2FA만으로 충분했지만, 이제는 세션 쿠키 탈취와 같은 고도화된 공격이 AI의 강력한 커넥터 기능과 결합하여 기업의 핵심 자산인 데이터를 위협하고 있습니다.

물론 생산성 향상을 위해 AI와 외부 도구의 연동을 극대화하는 것은 거스를 수 없는 흐름이며, 이를 과도하게 제한할 경우 기업의 AI 경쟁력이 저해될 수 있다는 트레이드오프가 존재합니다. 따라서 무조건적인 차단보다는, AI 에이전트가 사용하는 권한의 유효 기간을 단축하거나, 특정 데이터 접근 시 추가적인 승인 절차를 거치는 '제로 트러스트' 기반의 AI 보안 아키텍처 구축이 스타트업에게 필수적인 과제가 될 것입니다.

원문 보기 →