ChatGPT Sheets 유출, 사무용 AI의 보안 경고

스프레드시트가 공격면이 됐다

PromptArmor가 공개한 ChatGPT for Google Sheets 데이터 유출 분석은 업무용 AI 확산의 불편한 지점을 찌른다. 사용자는 스프레드시트 함수처럼 AI를 호출한다고 느끼지만, 실제로는 워크북 안의 텍스트가 모델 입력이 되고 모델 출력이 다시 셀과 외부 서비스로 흘러간다. 공격자는 셀 안에 숨긴 지시문으로 모델을 조종해 워크북 데이터를 외부로 보내도록 유도할 수 있다.

이 사건의 핵심은 특정 애드온 하나의 문제가 아니다. 영업 리드, 고객 메모, 계약 조건, 재무 예측처럼 기업의 민감한 정보가 가장 많이 모이는 도구가 스프레드시트다. 여기에 LLM 함수를 붙이면 자동화의 생산성은 커지지만, 프롬프트 인젝션과 데이터 경계 실패도 함께 커진다. Google Workspace Marketplace에서 설치되는 부가 기능과 Google Apps Script 권한 모델은 편리한 배포 체계를 제공하지만, 사용자는 승인 화면만 보고 실제 데이터 흐름을 충분히 이해하기 어렵다.

도메인 위장 프롬프트 공격, 에이전트 방어의 맹점을 찌르다에서 본 것처럼 외부 콘텐츠가 곧 지시문이 되는 순간, 기존 웹 보안의 입력 검증만으로는 부족하다. 스프레드시트 AI는 그 문제가 사무 자동화의 한복판으로 들어왔다는 신호다.

왜 일반 데이터 유출보다 위험한가

스프레드시트는 보안팀이 생각하는 데이터베이스보다 느슨하게 운영된다. 파일 복사, 공유 링크, 시트 보호, 외부 커넥터, 앱스크립트, 애드온이 한 화면에 섞인다. 사용자는 업무 속도를 위해 권한을 넓게 주고, 나중에 누가 어떤 셀을 읽었는지 추적하기 어렵다. 여기에 LLM이 들어오면 데이터는 더 이상 정적인 표가 아니다. 셀 내용은 모델에게 행동을 지시할 수 있고, 모델은 그 지시를 정상 업무처럼 실행할 수 있다.

OWASP Top 10 for LLM Applications는 프롬프트 인젝션, 민감 정보 노출, 과도한 권한을 주요 위험으로 분류한다. NIST AI 위험관리 프레임워크는 AI 시스템의 맥락, 데이터, 운영 통제를 함께 보라고 권한다. 이 기준으로 보면 스프레드시트 AI는 작은 편의 기능이 아니라 고위험 업무 자동화다.

한국 기업의 취약한 지점

한국 기업은 부서별로 구글 시트, 엑셀, 노션, 슬랙 자동화를 빠르게 붙인다. 특히 스타트업과 영업 조직은 CRM보다 시트를 먼저 쓰고, 인사와 정산 데이터도 임시 시트로 관리한다. 이 환경에서 "AI 요약 함수 하나"는 작아 보이지만, 실제로는 고객 정보와 내부 전략 문서를 외부 모델과 플러그인 사업자에게 넘기는 통로가 될 수 있다.

CISA 키 유출, 에이전트 시대 비밀관리 경고가 말한 비밀 관리 문제도 연결된다. API 키, 고객 토큰, 개인식별정보가 시트에 남아 있으면 LLM 플러그인은 그것을 일반 텍스트로 취급할 수 있다. AI 에이전트 테스트, 분산시스템의 주장부터 검증한다에서 본 것처럼 자동화는 도구 호출과 데이터 이동을 포함한 분산 시스템으로 검증해야 한다.

대응은 차단보다 분류에서 시작한다

모든 스프레드시트 AI를 금지하는 정책은 오래가지 않는다. 실제 업무에서는 분류, 번역, 요약, 정규화 수요가 크다. 현실적인 대응은 시트를 위험도별로 나누고, AI 호출 가능 범위를 정하는 것이다. 공개 자료와 익명화 데이터는 허용하되, 고객 식별자와 재무 정보가 있는 워크북은 별도 승인과 로그를 요구해야 한다.

Google Workspace 관리자 보안 문서는 앱 접근 제어와 데이터 보호 설정을 제공한다. 기업은 이 기능을 "설치 허용 여부"가 아니라 데이터 흐름 정책으로 다뤄야 한다. 또한 AI 플러그인 도입 전에는 외부 도메인 호출, 로그 보관, 학습 사용 여부, 관리자 감사 가능성을 확인해야 한다.

한국 개발팀에는 더 직접적인 과제가 있다. 내부 업무 자동화에 LLM을 붙일 때 셀 전체를 프롬프트로 보내는 손쉬운 구현을 피해야 한다. 필요한 열만 선택하고, 민감 열을 마스킹하고, 외부 출력 채널을 막고, 테스트용 악성 셀을 만들어 회귀 테스트에 넣어야 한다.

자주 묻는 질문

Q1: 이 문제는 ChatGPT 자체의 취약점인가요?

A: 핵심은 모델 하나보다 스프레드시트 애드온과 권한 설계, 프롬프트 인젝션 방어의 결합 문제다.

Q2: 스프레드시트 AI를 모두 막아야 하나요?

A: 아니다. 공개 데이터, 익명화 데이터, 내부 승인된 워크북부터 허용하고 민감 데이터 워크북은 별도 통제가 필요하다.

Q3: 가장 먼저 확인할 설정은 무엇인가요?

A: 애드온이 읽을 수 있는 파일 범위, 외부 네트워크 호출, 로그 보관, 학습 데이터 사용 여부를 확인해야 한다.

Q4: 개발자는 어떤 테스트를 추가해야 하나요?

A: 셀 안에 숨은 지시문, 외부 링크 유도, 민감 열 추출 요청 같은 공격 샘플을 회귀 테스트에 넣어야 한다.

Q5: 한국 기업에서 가장 위험한 데이터는 무엇인가요?

A: 고객 연락처, 견적, 계약 조건, 임직원 정보, API 키처럼 임시 시트에 자주 남는 데이터가 특히 위험하다.