Meta의 macOS 앱에 미수정 취약점

보안 연구자 Patrick Wardle이 Meta의 macOS용 데스크톱 앱 「Muse」에 미수정 제로데이 취약점을 발견했다고 공표했다. 이 취약점을 악용하면 권한이 없는 일반 소프트웨어가 Muse가 가진 광범위한 권한을 불정하게 조작할 수 있다고 한다. 그 결과 사용자가 입력한 내용의 도청이나 계정 불정 접근이 가능해질 수 있다고 지적되고 있다.

제로데이 취약점이란 개발사가 아직 파악하지 못했거나 수정 프로그램이 제공되지 않은 결함을 말한다. 특히 데스크톱 앱은 카메라나 마이크, 키보드 입력 등 많은 시스템 기능에 대한 접근 권한을 가지는 경우가 많으며, 그 권한이 악용되면 피해 범위가 확대되기 쉽다. AI 어시스턴트 앱은 이러한 깊은 권한을 필요로 하기 때문에 보안 설계가 특히 검토되는 입장에 있다.

Wardle의 보고에 따르면 Muse 앱에 포함된 디버그 설정 중 하나가 본래 개발·검증 용도에만 한정되어야 하는 동작 모드를 통상 환경에서도 활성화할 수 있는 상태가 되어 있었다. 이 설정이 권한이 없는 외부 소프트웨어로부터 앱의 동작을 조작하는 허점으로 작용하여 사용자의 입력 내용 탈취나 계정 보안 침해로 이어질 수 있음이 확인되었다. macOS에는 샌드박스 등 보안 경계를 지키는 메커니즘이 갖춰져 있으나 이번 문제는 그러한 경계를 사실상 우회하는 형태가 되어 있었다고 지적되고 있다.

Meta는 이 보고를 받아 핫픽스(긴급 수정 패치)를 제공했으나 Wardle은 취약점이 완전히 해소되지 않았다고 지적하고 있다. 즉 현 시점에도 위험이 남아 있을 가능성이 있다는 뜻이다. 핫픽스는 어디까지나 응급 조치이며 근본적인 원인 해결에는 추가 수정이 필요한 경우도 있을 수 있다.

이번 문제가 드러내는 것은 AI 어시스턴트 앱의 보안 설계의 중요성이다. 사용자의 신뢰를 전제로 동작하는 AI 클라이언트가 그 신뢰의 토대가 되는 플랫폼 보안을 훼손할 위험을 지니고 있다고 볼 수 있다. 개발 단계에서 사용되는 디버그 설정이 본운영 환경에 남아 있었다면 소프트웨어 개발 프로세스 전체의 관리 체계에도 질문이 제기되는 사건이라고 할 수 있다.

AI 앱은 향후 기능 확장에 따라 시스템에 대한 접근 권한이 확대되는 경향을 보일 것이다. 그만큼 앱 자체의 취약점이 공격자에게 유력한 침투 경로가 될 수 있는 위험도 증가한다. 개발자가 보안 검증을 어느 단계에서, 어느 깊이에서 수행하는지가 사용자 보호 관점에서 더욱 중시되는 추세가 될 것으로 보인다. 향후 Meta에 의한 완전한 수정 제공과 함께 동종의 AI 클라이언트 앱에 유사한 문제가 없는지 업계 전반에서의 점검이 요구되는 국면이 될 것으로 예상된다.