Excel 파일 하나 열었더니 AI가 회사 데이터를 유출했다

Excel 파일 하나 열었더니 AI가 회사 데이터를 유출했다.
사용자는 클릭 한 번 안 했다.
실제 CVE가 나온 이야기다.

CVE-2026-26144.
Microsoft Excel에서 발견된 크로스사이트 스크립팅 취약점이다.
원래라면 단순한 웹 보안 버그에 불과했을 거다.
패치 우선순위도 높지 않았을 만한 종류.
그런데 이 버그가
Copilot Agent와 만나면서 이야기가 완전히 달라졌다.

공격 체인은 이렇다.
악성 Excel 파일을 열면 XSS가 발동한다.
XSS가 Copilot Agent의 권한을 탈취한다.
Copilot이 스프레드시트 데이터를 공격자 서버로 전송한다.
사용자 클릭 없이.
알림 없이.
조용히.

보안 분야에서 일하면서 배운 게 하나 있다.
단일 취약점은 거의 위험하지 않다.
위험한 건 체인이다.
AI 에이전트가 도구에 깊숙이 통합될수록,
오래된 버그의 폭발 반경이 넓어진다.
Excel XSS 하나가 회사 전체 데이터 유출로 이어지는 세상이 된 거다.

Microsoft는 이 취약점을 패치했다.
Excel의 XSS를 차단하고,
Copilot Agent가 외부 엔드포인트로 데이터를 전송하는 경로를 막았다.
클릭 없는 유출 체인 자체를 끊은 거다.

AI 에이전트를 쓰고 있다면,
새로운 AI 취약점만 걱정하면 안된다.
이미 알려진 오래된 취약점이 AI를 통해 되살아나고 있다.
보안 패치를 미루고 있었다면,
지금이 적용할 때다.