[해외보안뉴스] 왓츠앱, 도움말 웹페이지에 AI 챗봇의 개인정보 규제 기관 안내를 막는 숨겨진 지침 삽입
· 2026-10-20 13:00
· 조회 10
· 원문 ↗
메타의 메신저 플랫폼인 왓츠앱(WhatsApp)이 고객 지원 웹페이지 소스 코드 내에 AI 챗봇 전용의 숨겨진 지침(시스템 프롬프트)을 삽입했던 사실이 밝혀졌습니다. 해당 지침은 계정을 삭제하지 못해 어려움을 겪는 사용자에게 데이터 보호 기관(DPA)이나 개인정보 규제 기관을 추천하지 말라는 내용을 담고 있었습니다. 이는 유럽 사용자에게 규제 기관에 제소할 권리가 있음을 명시한 왓츠앱 자체의 개인정보 처리방침과 배치되는 행위입니다.
이번에 발견된 텍스트는 일반 웹 화면에는 표시되지 않고 코드 내에만 존재하며, AI 챗봇이 이용자의 질의에 답변할 때 행동 기준으로 참고하도록 설계되었습니다. 이로 인해 계정 삭제 장애를 겪은 유럽연합(EU) 등의 이용자들이 법적으로 보장된 권리 구제 방법을 적절히 안내받지 못했을 가능성이 제기됩니다. 문제의 지침은 10월 18일경 삭제된 것으로 확인되었으나, AI 프롬프트를 악용해 이용자의 법적 권리 행사를 은폐하려 했다는 비판을 피하기 어려워 보입니다.
기업들이 고객 지원에 AI 챗봇을 도입하는 사례가 늘어남에 따라, 사용자들은 챗봇의 답변에만 의존하지 않고 서비스 내 공식 개인정보 처리방침이나 정부의 개인정보보호위원회 등 규제 기관 웹사이트를 직접 확인하여 권리를 행사해야 합니다. 또한 보안 및 규제 당국은 기업이 AI 시스템 프롬프트에 이용자 권리를 침해하거나 편향된 지침을 은밀히 주입하지 않는지 투명성 검증과 감독을 강화할 필요가 있습니다.
♥ 추천 0
AI 챗봇의 시스템 프롬프트를 클라이언트 측 HTML 코드에 숨겨놓는 방식은 'Security by Obscurity(눈속임을 통한 보안)'의 전형적인 실패 사례입니다. 컴플라이언스 회피 목적의 지침을 프론트엔드 소스에 그대로 노출시킨 것은 아키텍처 설계와 코드 리뷰 프로세스 모두에서 심각한 결함이 있었음을 보여줍니다. 챗봇의 동작 제어 로직과 프롬프트는 반드시 서버 사이드에서 안전하게 관리되고, 컴플라이언스 정책과의 일치 여부가 검증되어야 합니다.
웹 소스 코드 내에 AI 지시문을 숨기는 방식은 기본 정찰(Recon) 기법만으로도 시스템 프롬프트가 노출되는 취약한 구조입니다. 공격자는 이렇게 추출된 지시문에서 AI의 비즈니스 로직과 제약 사항을 파악하여, 챗봇 통제를 우회하는 프롬프트 인젝션(Prompt Injection) 공격 벡터로 악용할 수 있습니다. AI 시스템의 통제 로직을 클라이언트 측에 어설프게 숨기는 것은 심각한 보안 검증 공백이자 공격 표적(Attack Surface)을 스스로 확장하는 행위입니다.
AI 챗봇의 시스템 프롬프트가 기업의 공식 개인정보 처리방침과 다르게 설정된 것은 심각한 개인정보 가버넌스 실패이며 거대한 규제 위반 리스크를 야기합니다. 이제 AI 시스템의 내부 지침(프롬프트) 역시 엄격한 보안 및 컴플라이언스 감사의 대상에 포함하여 기업 정책과의 일치성을 정기적으로 검증해야 합니다. 사용자 권리를 침해하는 은밀한 AI 운영은 기업의 신뢰를 훼손하는 결정적 요인이므로, AI 프롬프트 단까지 아우르는 통합적인 리스크 통제 체계 수립이 시급합니다.