YouTube Studio AI 어시스턴트, 댓글 기반 프롬프트 인젝션 위험 제기

보안 연구자 Javox가 공개한 분석에 따르면 YouTube Studio의 AI 어시스턴트 Ask Studio는 영상 댓글을 요약하는 과정에서 댓글 안의 지시문을 일반 사용자 입력과 충분히 분리하지 못할 가능성이 제기됐다. 연구자는 공격자가 영상 댓글에 특정 문구를 남기면, 창작자가 YouTube Studio에서 댓글 관련 AI 요약을 실행했을 때 해당 문구가 AI 응답의 일부처럼 표시될 수 있다고 설명했다.

이번 사례의 핵심은 AI 기능이 외부 이용자가 작성한 댓글을 신뢰 가능한 맥락으로 읽는다는 점이다. 연구자는 처음에는 댓글 요약 응답 앞에 특정 안내 문구를 붙이는 방식으로 개념검증을 진행했다. 이후 댓글을 정상적인 문장으로 먼저 작성한 뒤 나중에 지시문으로 수정할 수 있다는 점도 지적했다. 창작자가 댓글 수정 사실을 별도로 인지하지 못한 상태에서 YouTube Studio의 추천 프롬프트를 클릭하면, 댓글 내용이 AI 입력으로 들어갈 수 있다는 주장이다.

연구자는 이를 저장형 프롬프트 인젝션으로 분류했다. 공격자가 즉석에서 창작자에게 별도 메시지를 보내는 방식이 아니라, 플랫폼 안에 남긴 댓글이 나중에 AI 어시스턴트의 응답을 오염시키는 구조라는 것이다. 생성형 AI가 사용자 생성 콘텐츠를 읽고 요약하거나 행동을 제안하는 서비스에서 반복적으로 제기되는 위험과 맞닿아 있다.

더 민감한 부분은 비공개 영상 정보 유출 가능성이다. 연구자는 Ask Studio가 인증된 창작자 도구로서 채널의 영상 정보에 접근할 수 있다고 보고, AI가 비공개 영상 제목을 외부 URL 매개변수에 넣도록 유도하는 실험을 진행했다고 밝혔다. 창작자가 AI 응답 안의 링크를 클릭하면, 공격자 서버가 해당 제목을 받을 수 있다는 설명이다. 다만 이 내용은 연구자 원문에 따른 재현 주장으로, Google 또는 YouTube가 같은 위험을 공식적으로 인정했는지는 별도로 확인되지 않았다.

Javox는 해당 내용을 Google에 신고했지만, Google이 이를 보안 버그로 추적하지 않는다는 취지의 답변을 했다고 밝혔다. 이 역시 연구자의 공개 글에 근거한 설명이다. 개발일보는 Google의 별도 공식 공지나 보안 권고는 확인하지 못했다.

이번 공개는 AI 어시스턴트가 댓글, 문서, 이메일, 이슈, 고객 문의처럼 외부에서 들어온 데이터를 읽을 때 권한 경계와 명령 경계를 분리해야 한다는 점을 보여준다. AI가 내부 도구의 권한으로 데이터를 볼 수 있다면, 단순 요약 기능이라도 외부 입력을 명령처럼 처리하지 않도록 설계해야 한다. 특히 링크 생성, 외부 호출, 워크플로 실행 같은 기능과 결합될수록 프롬프트 인젝션은 단순한 출력 변조를 넘어 정보 유출 경로가 될 수 있다.

출처: Javox 보안 연구 블로그 https://javoriuski.com/post/youtube