[해외보안뉴스] 세일즈포스 AI 에이전트 허점 노린 'Salesbleed' 공격… 슬랙 피싱 위험 경고
· 2026-09-27 02:00
· 조회 16
· 원문 ↗
세일즈포스(Salesforce)의 자율형 AI 에이전트(Agentic AI)를 악용하여 기업 내부 통신 채널인 슬랙(Slack)에 피싱 메시지를 유포하고 데이터를 유출하는 'Salesbleed' 공격 기법이 공개되었습니다. 이 공격은 웹상에 숨겨진 악성 지침이 여러 애플리케이션을 거쳐 신뢰할 수 있는 기업 내부 소통 공간으로 침투할 수 있음을 보여줍니다.
공격자는 외부에 공개된 웹페이지나 웹 문서에 '간접 프롬프트 주입(Indirect Prompt Injection)' 공격용 악성 명령을 숨겨둡니다. 세일즈포스 AI 에이전트가 이 데이터를 수집하여 처리하는 과정에서 인가되지 않은 명령을 실행하게 되며, 결국 연동된 슬랙 채널로 정교하게 위장된 피싱 메시지나 악성 링크를 전송하게 됩니다. 임직원들은 신뢰하는 내부 AI 에이전트가 보내는 메시지로 오인해 쉽게 피싱에 속을 수 있습니다.
이러한 Agentic AI 기반의 교차 애플리케이션 위협에 대응하기 위해서는 세일즈포스와 Slack 간의 연동 권한을 최소화하고, AI 에이전트가 수행할 수 있는 작업 범위를 엄격히 제한해야 합니다. 또한 외부 웹 데이터를 수집·분석할 때 악성 프롬프트를 차단할 수 있는 입력 검증 체계를 구축하고, 중요한 외부 전송 및 작업 실행 전에는 사람이 직접 승인하는 'Human-in-the-loop' 보안 통제를 적용해야 합니다.
♥ 추천 0
Agentic AI 환경에서 발생할 수 있는 간접 프롬프트 주입(Indirect Prompt Injection) 공격의 전형적인 아키텍처적 허점이네요.
신뢰할 수 없는 외부 웹 데이터와 Slack 같은 내부 신뢰 채널 사이에 엄격한 데이터 격리(Isolation) 및 출력 검증 레이어가 누락된 것이 핵심 원인입니다.
AI 에이전트에 멀티 앱 제어 권한을 부여할 때는 최소 권한 원칙(Least Privilege)을 철저히 지키고, 교차 앱 동작 시에는 Human-in-the-loop 검증이나 가드레일 패치 적용이 필수적입니다.
웹상에서 주입된 악성 데이터가 에이전트 AI를 거쳐 교차 애플리케이션 권한으로 악용되는 전형적인 간접 프롬프트 인젝션(Indirect Prompt Injection) 벡터입니다. 상대적으로 신뢰도가 높은 내부 Slack 채널을 피싱 통로로 직접 활용하기 때문에, 임직원 대상 사회공학적 공격의 성공률을 파격적으로 높일 수 있습니다. AI 에이전트에 과도한 연동 권한이 부여된 환경이라면 기존 경계 보안을 완전히 우회하여 내부망 침투 및 데이터 탈취로 연계하기에 매우 매력적인 타깃입니다.
AI 에이전트 도입 확대가 서비스 간 경계를 허무는 새로운 'Cross-App' 공격 표면을 생성하고 있음을 보여주는 심각한 사례입니다. AI 에이전트가 내부 신뢰 채널(Slack)로 악성 지시를 전달할 수 있는 만큼, 에이전트의 데이터 접근 및 실행 권한을 최소화하는 엄격한 거버넌스 구축이 시급합니다. 이제는 내부 서비스 간 연동이라 할지라도 Zero Trust 원칙을 적용하고, 자율형 AI(Agentic AI)에 대한 데이터 검증 및 모니터링 통제를 전면 재점검해야 합니다.