에이전트형 브라우징 시대가 왔다. 하지만 안전할까?

F5 ADSP | 2026년 3월 18일

지난 1년간 최고정보보호책임자(CISO)들은 에이전틱 브라우징의 부상을 호기심과 우려가 뒤섞인 시선으로 지켜봐 왔습니다. 기존 브라우저와 달리 에이전틱 브라우저는 단순히 웹페이지를 불러오는 데 그치지 않고, 웹페이지에서 직접 행동합니다 콘텐츠를 읽고, 링크를 클릭하고, 문서를 요약하고, 데이터를 추출하고, 양식을 작성하며, 사용자를 대신해 구매까지 합니다. 즉, 이러한 브라우저는 ‘사용자를 대신해 웹을 탐색’하며 이메일 전송, 캘린더 일정 생성, 쇼핑과 같은 작업을 자율적으로 수행합니다.

“에이전트형 브라우저는 인지(읽고 이해하기)와 실행(행동하기)을 결합합니다. 사람에게는 아무런 작용도 하지 않는 콘텐츠처럼 보이는 것이 AI 에이전트에게는 실행 가능한 명령이 될 수 있습니다.”

As F5 Distributed Cloud Bot Defense가 실제 애플리케이션 전반의 트래픽 패턴을 분류함에 따라 보안 책임자들은 한 가지 질문을 계속 제기합니다. 에이전틱 브라우징은 기존 브라우징과 어떻게 다르며, 더 많은 악용과 위험을 초래할까요?

에이전트형 브라우저에 관해 공개적으로 문서화된 독립 연구에 따르면, 그 답은 ‘그렇다’인 것으로 보입니다. 에이전트형 브라우징은 자사 및 제3자 콘텐츠를 문자 그대로의 명령으로 해석하기 때문에 새로운 악용 경로를 만들고 위험을 키웁니다. 즉, 이러한 도구가 탈취되어 사용자의 기존 자격 증명으로 악의적인 작업을 수행할 수 있습니다.

에이전트형 브라우징이 위협 모델을 바꾸는 방식

기존 브라우저는 콘텐츠를 표시하고, 사용자의 판단에 따라 작업을 수행합니다. 반면 에이전트형 브라우저는 설계상 인지(읽기/이해)와 실행(작업 수행)을 결합합니다. 이러한 결합은 신뢰 경계를 바꿉니다. 사람에게는 아무런 동작도 하지 않는 콘텐츠처럼 보이는 것이 AI 에이전트에게는 실행 가능한 명령이 될 수 있습니다. 연구에 따르면 공격자는 URL, HTML, 댓글은 물론 스크린샷에도 명령을 숨길 수 있습니다. 에이전트가 이를 받아들이면 인증된 세션 내에서 해당 명령이 실행될 수 있습니다.

바로 이러한 이유로 에이전트 트래픽과 사람의 트래픽을 구분하는 것이 중요합니다. 에이전트 세션은 기계적인 속도의 파싱, 자율적인 양식 상호작용, 비선형 탐색 등 사람이 아닌 특유의 패턴을 보이는 경향이 있으므로, 봇 완화 시스템은 이를 감지해 사람의 트래픽과 다르게 처리할 수 있습니다. 이는 생태계의 보안이 강화되는 과정에서 반드시 필요한 통제 수단입니다.

에이전트형 행동을 표적으로 삼는 공격 사례

다음은 에이전트형 브라우저로 인해 발생하는 몇 가지 보안 및 개인정보 보호 위험입니다.

CometJacking은 악성 URL 하나를 데이터 유출 명령으로 사용해 유용한 브라우저 어시스턴트를 몰래 데이터 탈취 도구로 바꾸는 프롬프트 인젝션 기법입니다. 이 링크에는 에이전트가 이메일 및 캘린더 항목 등의 데이터를 수집하고, Base64 인코딩과 같은 방식으로 데이터를 난독화한 뒤, 공격자가 제어하는 엔드포인트로 유출하도록 지시하는 숨겨진 명령이 포함되어 있습니다. 에이전트가 이미 합법적인 접근 권한을 보유하고 있으므로 자격 증명을 탈취할 필요도 없습니다.

웹페이지에 삽입된 숨겨진 지침도 또 다른 보안 위험입니다. 사용자가 브라우저에 “이 웹페이지를 요약해 줘”라고 요청하면, 브라우저는 삽입된 지침이 포함되어 있을 수 있는 신뢰할 수 없는 페이지 콘텐츠와 사용자 명령을 확실하게 구분하지 못한 채 콘텐츠를 LLM으로 전송할 수 있습니다. 이로 인해 보이지 않거나 숨겨진 텍스트를 통한 간접 프롬프트 인젝션으로 이메일 주소와 일회용 비밀번호에 접근하고, 여러 탭에서 무단 작업을 수행할 수 있습니다.

스테가노그래피 스크린샷 공격은 브라우저의 스크린샷 광학 문자 인식(OCR) 기능이 사람에게는 보이지 않지만 기계가 읽을 수 있는 숨겨진 텍스트를 포착할 때 발생합니다. OCR을 통해 추출된 이러한 ‘유령 지시문’은 명령으로 해석되어 기존 브라우저 보호 기능(동일 출처 정책 등)을 우회하고 무단 접근과 데이터 탈취를 가능하게 합니다. 서드 파티 이미지로 연결되는 웹사이트는 제공하는 콘텐츠에서 눈에 띄는 차이가 전혀 없는 상태에서도 공격을 받고 있을 수 있습니다.

에이전트형 동작을 노린 이러한 공격 사례는 에이전트형 브라우징의 구조적 문제, 즉 개별적 문제가 아닌 시스템 차원의 문제를 보여줍니다. 엄격한 경계가 마련되지 않은 상태에서 콘텐츠 채널과 명령 채널을 결합하면 프롬프트 인젝션과 명령 탈취가 발생할 수 있습니다. 많은 AI 네이티브 브라우저는 여전히 충분한 실전 검증을 거치지 않았으며, 이러한 취약성은 통합된 모든 애플리케이션이나 커넥터로 확산될 수 있습니다.

핵심은 무엇일까요? 기존의 브라우징은 콘텐츠를 명령으로 취급하지 않지만, 에이전트형 브라우징은 그렇게 하며, 최근 연구에 따르면 공격자가 이러한 차이를 악용할 수 있습니다.

에이전틱 AI 기반 트래픽이 이미 네트워크에 유입되고 있을 가능성이 높습니다. 악의적인 사용으로부터 보호하려면 가시성을 확보하고 위협을 완화하는 것이 매우 중요합니다.

에이전트형 브라우징 위험을 완화하기 위한 모범 사례

에이전트형 브라우저를 대상으로 한 공격 사례가 이미 확인되었고 다른 에이전트형 도구에도 유사한 위험이 존재할 가능성이 높은 만큼, 최고정보보호책임자(CISO)는 에이전트형 브라우징에 관한 명확한 정책과 통제 체계를 마련해야 합니다.

액세스 및 정책 통제 시행. 여기에는 에이전트형 브라우저의 사용을 제한하거나 조건부로 허용하는 조치가 포함됩니다. 네트워크 경계, 웹 애플리케이션 방화벽(WAF), 애플리케이션 계층에서 AI 기반 브라우저에 대한 명시적인 허용/차단 목록을 반드시 도입해야 합니다. 에이전트형 클라이언트는 자율적으로 작업을 수행하고 명령을 처리하므로 더 높은 위험 요소로 간주해야 합니다. 또한 민감한 작업에는 추가 인증을 요구해야 합니다. 인증된 세션에서 에이전트가 탈취될 경우 피해를 제한할 수 있도록 데이터 내보내기, 프로필/자격 증명 변경, 결제 이벤트 및 관리 작업 시 다단계 인증(MFA)이나 재인증을 실행해야 합니다.
탐지 및 모니터링. Distributed Cloud Bot Defense를 활용하여 행동 및 신호 기반 지표로 사람의 세션과 에이전트 세션을 구분하고, 에이전트 트래픽을 탐지 및 분류합니다. 에이전트 세션에는 적응형 정책을 적용합니다. 또한 사람이 수행하기에는 지나치게 빠르거나 일관된 작업 흐름을 지속적으로 모니터링하여 행동 이상 징후를 탐지합니다. 위험 점수 평가와 연계해 추가 인증을 요구하거나 임시 세션을 제한합니다.
애플리케이션 수준의 보안을 강화합니다. 상태를 변경하는 모든 요청을 검증하고 서버 측 검사를 적용해야 합니다(클라이언트 신호에만 의존해서는 안 됩니다). 이렇게 하면 에이전트를 속여 유해한 작업을 수행하게 하는 숨겨진 명령 공격의 성공률을 낮출 수 있습니다. 인증 시도, 금융 거래, 내보내기/다운로드 엔드포인트 등 민감한 엔드포인트에 속도 제한을 적용하여 기계적인 속도로 이루어지는 자동화된 악용을 억제합니다.
화면별 민감한 데이터 노출을 최소화하세요. 에이전트가 단 한 번의 요청으로 대량의 민감한 데이터를 수집할 수 없도록 페이지를 설계하세요. 또한 AI 도구와 에이전트형 브라우저의 목록을 작성하고, 설치된 AI 도구와 해당 도구가 액세스할 수 있는 시스템을 보여 주는 엔드포인트/애플리케이션 맵을 유지 관리하세요. 이를 공격 표면 관리의 일부로 취급하세요.
에이전트형 위협에 레드팀 전술을 활용하세요. 공격적 보안 프로그램에 간접 프롬프트 인젝션, 스테가노그래피 페이로드, 악성 URL 매개변수, 탭 간 데이터 추출에 대한 테스트 사례를 추가하세요. 이를 통해 에이전트형 브라우징에 특화된 통제 공백을 파악할 수 있습니다. F5 AI Red Team 을 활용하여 공격 표면을 식별하고 AI 모델 및 애플리케이션의 취약점을 표적으로 삼는 에이전트를 배포하세요.

에이전트형 브라우징에는 새로운 방어 태세가 필요합니다

에이전트형 브라우징은 비인간적인 타이밍, 자율 탐색, 반복적인 요약 또는 추출 루프와 같은 고유한 패턴을 생성하므로, Distributed Cloud Bot Defense는 이러한 세션을 식별하고 위험도에 따라 인증 강화, 속도 제한, 기능 축소 또는 완전 차단 등의 방식으로 적절히 대응할 수 있습니다. 이러한 가시성은 에이전트형 생태계가 발전하고 브라우저 공급업체가 콘텐츠 격리를 더 잘 이해하게 됨에 따라 필수적입니다.

에이전트형 브라우저를 대상으로 한 앞서 언급된 공격 사례에는 무기화된 URL, 숨겨진 페이지 명령, 스테가노그래피가 적용된 스크린샷 프롬프트 등이 있으며, 이는 에이전트형 브라우징이 기존 웹 보안으로는 대응하도록 설계되지 않은 위험을 초래한다는 점을 보여줍니다. 에이전트형 모델에서는 겉보기에 무해한 콘텐츠가 실행 가능한 명령으로 바뀔 수 있으며, 인증된 세션을 통해 AI 에이전트가 강력한 내부자 위협으로 변할 수 있습니다.

에이전트형 브라우저가 콘텐츠와 명령 사이에 강력한 경계를 구현할 때까지, CISO는 이러한 클라이언트를 기본적으로 고위험 대상으로 간주하고 명확한 정책을 시행하며, 에이전트형 트래픽을 탐지하고 관리하기 위해 F5의 고급 봇 방어 기능을 활용해야 합니다. 이 새로운 시대에는 가시성과 정책 집행이 모두 필수적입니다.

지금 바로 노출 위험을 평가해 보세요—에이전틱 위험 검토를 예약하세요 보안 팀과 함께.