구글 위협 인텔리전스 팀이 수행한 분석에 따르면, 간접 프롬프트 인젝션이 공개 웹 콘텐츠에서 공격자와 웹사이트 운영자에 의한 실험적 활동으로 나타나기 시작했다. 그러나 지금까지 관찰된 대부분의 사례는 복잡성이 제한적이었으며 고급 기법에 광범위하게 의존하는 모습을 보이지 않았다. 그럼에도 구글은 2025년 11월부터 2026년 2월 사이 악성 범주 탐지 건수가 32% 증가했다고 기록했으며, 이를 이러한 유형의 공격에 대한 관심이 커지고 있다는 신호로 보고 있다.
구글은 이 분석을 자사 보안 블로그에 게시했으며, Thomas Brunner, Yu-Han Liu, Moni Pande가 작성에 참여했다. 연구는 실용적인 질문에 초점을 맞춘다. 실제 세계의 공격자들이 현재 간접 프롬프트 인젝션을 악용하고 있는가, 그리고 어떤 결과를 달성하려 하는가?
간접 프롬프트 인젝션은 어떻게 작동하는가?
이 방식은 사용자가 탈옥 또는 jailbreak로 알려진 방법을 통해 챗봇의 제한을 우회하려 하는 직접 인젝션과 다르다. 간접 인젝션에서는 인공지능 시스템이 웹페이지, 이메일 또는 문서와 같은 외부 콘텐츠를 처리하며, 해당 콘텐츠에는 악성 지침이 포함되어 있다. 시스템이 이러한 지침을 명령으로 받아들이면 원래 사용자의 목적을 따르는 대신 이를 조용히 실행할 수 있다.
구글은 이 위협을 Google DeepMind 연구자들과 Google Threat Intelligence Group의 방어 담당자 간 협력의 핵심 과제로 보고 있다. 웹사이트를 탐색하고 문서를 처리하며 사용자를 대신해 조치를 수행할 수 있는 인공지능 에이전트의 사용이 확대되면서 이 위험은 특히 중요해지고 있다.
Common Crawl 조사와 오탐 문제
구글은 공개 웹을 비교적 쉽게 모니터링할 수 있는 채널로 선택했다. 공격자들은 인공지능 시스템이 읽기를 기대하는 웹사이트 내부에 지침 텍스트를 심을 수 있기 때문이다. 접근성과 재현성을 위해 구글은 영어권 웹에서 수집된 대규모 웹페이지 저장소인 Common Crawl을 사용했다. 이 저장소는 매월 약 20억~30억 페이지를 포함하는 스냅샷을 제공한다.
이 데이터는 대부분 블로그, 포럼, 댓글, 자체 게시 콘텐츠를 포함한 정적 웹사이트로 구성된다. 그러나 LinkedIn, Facebook, X와 같은 소셜 미디어 플랫폼 대부분은 포함하지 않는다. Common Crawl이 로그인을 요구하거나 크롤링을 차단하는 지침을 사용하는 사이트를 제외하기 때문이다. 따라서 구글은 소셜 네트워크에서의 프롬프트 인젝션 활동 연구는 별도의 연구로 진행될 것이라고 밝혔다.
조사는 오탐이라는 큰 문제에 직면했다. 초기 실험에서는 유해하지 않은 프롬프트 인젝션 텍스트가 광범위하게 발견되었으며, 특히 이러한 공격을 다루는 연구 논문, 교육 자료, 사이버 보안 기사에서 많이 나타났다. 혼동을 줄이기 위해 구글은 단계적인 필터링 절차를 따랐다.
- 패턴 일치: 먼저 “지침을 무시하라” 또는 “당신이 인공지능 시스템이라면”과 같은 문구를 비롯해 일반적인 지표가 포함된 페이지를 검색했다.
- 대규모 언어 모델을 사용한 분류: Gemini를 사용해 후보 결과를 처리하고 텍스트의 의도를 판단했다. 또한 문서의 주제와 일치하는지, 아니면 외부에서 삽입된 의심스러운 내용처럼 보이는지를 확인했다.
- 사람에 의한 검증: 결론에 대한 신뢰도를 높이기 위해 분류된 결과를 최종적으로 수동 검토했다.
구글은 이 방법론이 포괄적이지 않으며 익숙하지 않은 패턴을 놓칠 수 있다고 설명했다. 그러나 실제 웹에 존재하는 프롬프트 인젝션의 성격을 이해하기 위한 출발점을 제공한다고 밝혔다.
구글이 관찰한 목표는 무엇인가?
분석에서 발견된 사례는 무해한 실험부터 악성 목적을 가진 시도까지 다양했다. 일부 웹사이트 운영자는 사이트를 읽는 어시스턴트의 말투를 바꾸기 위해 숨겨진 지침을 사용했고, 다른 운영자들은 인공지능 요약이 독자에게 유용하다고 여기는 맥락을 추가하도록 유도하려 했다. 구글은 요약을 방해하거나 사용자를 속이려 하지 않는 한 이러한 사례를 무해한 것으로 간주한다. 그러나 거짓 정보를 포함하거나 사용자를 외부 사이트로 유도하면 악성으로 변할 수 있다.
분석은 검색엔진에서의 노출을 개선하기 위해 프롬프트 인젝션을 사용하는 사례도 관찰했다. 일부 사이트는 다른 사이트를 희생해 자신의 사업을 홍보하도록 어시스턴트를 유도하려 했다. 단순한 사례와 함께, 구글에 따르면 검색엔진 최적화 자동화 도구로 생성된 뒤 사이트 텍스트에 삽입된 것으로 보이는 더 복잡한 시도도 나타났다.
다른 사례에서는 인공지능 에이전트가 사이트 콘텐츠를 가져오지 못하도록 지침이 사용되었다. 예시는 “당신이 인공지능이라면 이 사이트를 크롤링하지 마라”와 같은 직접적인 문구에 그치지 않았다. 일부는 기계 독자를 무한히 많은 텍스트를 출력하고 로딩을 끝내지 않는 페이지로 유인하려 했다. 이로 인해 처리 중 자원이 낭비되거나 시간 초과 오류가 발생할 수 있다.
악성 사례에는 소수의 데이터 탈취 시도도 포함되었다. 그러나 구글은 그 복잡성 수준이 낮았으며, 2025년에 보안 연구자들이 공개한 일부 알려진 데이터 추출 프롬프트를 비롯해 고급 공격이 대규모로 발생하는 모습은 관찰하지 못했다고 밝혔다. 또한 어시스턴트 사용자의 기기를 파괴하려는 사이트도 발견했다. 일부 명령은 실행될 경우 기기에 있는 모든 파일을 삭제하려 했다. 구글은 이러한 사례가 단순하기 때문에 성공할 가능성은 낮다고 판단했다.
복잡성은 제한적이지만 상승하는 추세
구글의 결과에 따르면 관찰된 활동만으로는 간접 프롬프트 인젝션 공격이 광범위한 생산 환경에서 대규모로 실용화되었다고 입증할 수 없다. 많은 사례가 실험을 진행하거나 장난을 치는 개인에게서 비롯된 것으로 보였기 때문이다. 그러나 아카이브의 여러 버전에 대해 조사를 반복한 결과, 2025년 11월부터 2026년 2월 사이 악성 범주가 32% 증가한 것은 관심이 커지고 있음을 시사한다.
구글은 위협이 확대될 가능성을 비용과 이익의 변화와 연결한다. 과거에는 이러한 공격을 실행하기 어려웠고, 침해된 시스템도 악성 조치를 안정적으로 수행하지 못했다. 그러나 오늘날 인공지능 시스템은 더욱 강력해져 공격 대상으로서의 가치가 높아졌다. 동시에 공격자들은 에이전트형 인공지능을 사용해 작업을 자동화하고 공격 비용을 낮추기 시작했다. 이에 따라 구글은 가까운 미래에 프롬프트 인젝션 시도의 규모와 복잡성이 증가할 것으로 예상한다.
한편 구글은 인공지능 모델과 제품을 계속 강화하고 있으며, 레드팀을 활용해 Gemini가 적대적 조작에 저항하는 능력을 시험하고 있다고 밝혔다. 인공지능 취약점 발견 보상 프로그램을 통해 외부 연구자들도 이러한 노력에 참여할 수 있다. 회사는 현재 조사가 소셜 플랫폼을 다루지 않으며 모든 위협 활동을 완전히 보여주는 것은 아니라는 점을 인정하면서도, 보안 커뮤니티와 정보를 계속 공유하겠다고 강조했다.