Dark Sourcery: 오염된 웹 페이지, 374개 브랜드, 그리고 아무도 확인하지 않은 답변들

2026년 9월 23일, 보안 업체 Vigilance Security는 Dark Sourcery라고 부르는 진행 중인 캠페인을 설명하는 연구를 발표했다. 공격자들은 최적화된 게시물, PDF, 리뷰, 가짜 지원 페이지를 오픈 웹에 대량으로 퍼뜨려 ChatGPT, Google Gemini, Google AI Overviews가 사기성 전화번호, 이메일 주소, 로그인 페이지를 기업의 공식 연락처로 반환하게 만든다. Dark Reading은 같은 날 이 연구를 보도하며 Delta, Lufthansa, Qatar Airways, Chase, Bank of America, Airbnb, TripAdvisor를 최소 374개 피해 기업에 포함해 언급했고, 그 배후에는 수만 개의 악성 페이지가 있었다. 어떤 모델도 침해되지 않았다. 오염된 페이지는 단지 모델들이 읽은 내용이었고, 사기는 어시스턴트 자체의 신뢰성을 등에 업고 도착했다. 이 기록은 the OrcaRouter AI Incident Archive의 한 항목으로, 이곳에서 사용된 것과 동일한 필드—심각도, 신뢰도, 분쟁 상태, 실제 피해—로 AI 사고와 연구 결과를 추적한다.

Vigilance Security가 실제로 게시한 것

이번 연구는 Vigilance의 리서치 부사장인 아리엘 사이먼이 2026년 9월 23일에 게시한 Medium 게시물 「다크 소서리: 해커들이 AI를 조작해 당신을 사기치는 방법」이다. 기고 작가 엘리자베스 몬탈바노가 작성하고 같은 날 14:47 UTC로 시간이 표시된 Dark Reading의 기사는 이 게시물로 직접 연결되며, 전반에 걸쳐 사이먼을 인용한다. 이 게시물은 익스플로잇이 아니라 콘텐츠 운영을 설명한다. 어떤 취약점도 악용되지 않고, 공격자가 직접 자격 증명을 탈취하지도 않으며, 모델이 거부하도록 학습할 수 있는 어떤 것도 모델에 전송되지 않는다.

Vigilance는 가짜 지원 전화번호, 이메일 주소, 로그인 페이지, 소프트웨어 업데이트 정보 및 기타 사기성 세부 정보를 포함한 "수만 개의 악성 페이지"를 식별했다고 밝혔습니다. 이 페이지들은 챗봇의 답변을 조작하기 위해 제작되었습니다. Vigilance는 이 사건에 연루된 기업 수를 "최소 374곳"으로 집계했으며, 여기에는 Fortune 100 기업, 주요 항공사, 은행, 여행사, 소프트웨어 제공업체가 포함된다고 설명했습니다. Dark Reading 보고서에서 이름이 거론된 브랜드는 Delta, Lufthansa, Qatar Airways, Chase, Bank of America, Airbnb, TripAdvisor입니다.

연구 글도, 뒤이은 보도도 브랜드별 내역은 제시하지 않는다. 어떤 가짜 번호가 어느 회사의 것이었는지, 각 회사를 겨냥한 오염된 페이지가 몇 개였는지, 개별 페이지가 언제 올라갔는지는 밝히지 않는다. 374라는 수치는 총계로 제시되며, 기록도 같은 방식으로 이를 전한다.

사이먼은 또한 2026년 8월에 발표된 Exploding Topics의 연구를 인용하며, AI 챗봇을 사용하는 사람들의 91%가 제공된 답변을 검증하지 않는다고 지적한다. 그 수치는 캠페인의 측정 결과라기보다 전제이다. 그 수치는 연구에서 인용되었고 Dark Reading과 IANS에 의해 반복되었으며, 여기서 검토한 어떤 보도에서도 그 자체의 방법론은 설명되지 않는다. 사이먼의 표현대로, “공격자가 AI를 통제하고 우리가 그것을 맹목적으로 신뢰한다면, 그들은 사실상 우리를 통제하는 것이다.”

중독이 어떻게 구성되는지

이 메커니즘은 세 부분으로 이루어져 있으며, 전통적인 의미에서 공격자에게 속하는 것은 첫 번째 부분뿐이다. 첫째, 거짓 연락처 정보를 명시한 페이지들로 웹을 오염시킨다. 둘째, 그 페이지들이 마치 검색 시스템이 신뢰해야 할 출처에서 나온 것처럼 보이게 만든다. 셋째, 인용은 어시스턴트가 하도록 내버려 둔다.

두 번째 단계는 Vigilance가 가장 큰 비중을 두는 부분이다. "우리는 고권위 도메인(대학, 정부)이 여론 출처(소셜 미디어, 포럼, 사용자 리뷰)와 결합될 때 AI 답변 오염에서 높은 성공률을 거두었다고 의심합니다"라고 Simon은 Dark Reading에 말했다. "모델에 따라 AI는 출처를 살펴보고, 권위 있는 주체에서 나온 내용이라면 그 콘텐츠를 더 신뢰합니다." 이는 빌려온 평판에 대한 설명이다. 침해되었거나 악용된 대학 페이지가 권위를 제공하고, 흩어진 포럼 게시물과 리뷰가 그 주장이 다른 곳에서도 뒷받침된다는 인상을 제공한다.

AI의 주장을 출처와 대조해 검증하는 매체 Ground Truth는 사이먼의 게시물에 나열된 씨딩 전술을 다음과 같이 요약했다. 동일하거나 유사한 허위 연락처가 사용자 생성 게시물, PDF, 호스팅된 페이지, 리뷰, 모금 및 구인 플랫폼, Q&A 형식 콘텐츠 전반에 퍼져 있는 것; 반복적인 서식과 "24/7", "updated 2026" 같은 문구로 검색에 잘 걸리도록 세부 정보를 조정한 것; 그리고 같은 전화번호를 공백, 점, 이모지, 유니코드 유사 문자 또는 철자를 풀어 쓴 단어로 표현한 것이다. 마지막 기법은 두 가지 역할을 한다 — 중복 문자열 탐지를 무력화하면서도 모델은 여전히 하나의 번호로 읽게 한다. Ground Truth는 목표를 정확히 설명한다. 하나의 바이럴 페이지가 아니라 "독립적 교차 확인이 존재하는 듯한 인상"이다.

GIGAZINE의 연구 보도는 구체적인 사례 하나를 제시한다. HP 프린터 지원 게시물과 이미지를 위조해 HP의 것이 아닌 전화번호를 실은 경우다. 이는 감사를 거친 사례라기보다는 그러한 패턴의 한 예시이며, 해당 매체는 이를 자체 조사가 아닌 Vigilance 연구에 근거한 것으로 밝히고 있다.

프롬프트 인젝션은 아니지만 그렇게 분류되었습니다.

이 구분은 중요하며, Simon은 이를 명시적으로 설명한다. Dark Reading은 그가 이 캠페인이 프롬프트 인젝션과 {{1}}공격자가 AI에 명시적 지시나 프롬프트를 제공하는 것을 수반하지 않으며, 그러한 지시나 프롬프트는 AI 방어 체계에 의해 저지될 수 있다는 점에서{{/1}} 다르다고 말한 것을 인용한다. 그의 더 예리한 표현은 다음과 같다: "{{2}}여기서는 사실로 표시된 허위 정보가 AI로 하여금 공격자의 어떠한 지시/프롬프트도 전혀 따르지 않으면서 사용자에게 거짓 정보로 답하게 만들고, 본질적으로 모든 방어를 우회한다.{{/2}}"

또한 이는 배포 전에 모델이 학습한 내용을 오염시키는 훈련 데이터 포이즈닝과도 다릅니다. 여기서 일어나는 모든 일은 모델이 출시된 후, 실제 웹을 대상으로 검색 시점에 발생합니다. 그래서 재훈련으로는 고쳐지지 않고, 오염된 페이지가 내려가도 답변이 반드시 바뀌지는 않는 것입니다.

아카이브는 이 기록을 IPI, 즉 간접 프롬프트 주입 태그 아래에 분류한다. 주의 깊게 읽어 보면, 그 태그와 연구는 인접한 사안을 설명하고 있다. IPI는 사용자가 직접 입력한 것이 아니라 모델이 처리하도록 요청받은 자료 내부에서 간접적으로 모델에 도달하는 내용을 포괄한다. Dark Sourcery는 그 채널에서 지시를 제거한 것이다. 즉 페이로드는 명령이 아니라 사실이다. 그 태그는 채널에 관한 분류 결정이고, Simon의 설명은 페이로드에 관한 주장이며, 둘은 충돌하지 않는다. 그 태그를 공격자 프롬프트가 전달되었다는 단언으로 읽어서는 안 된다. 왜냐하면 연구 자체의 설명에 따르면 그런 프롬프트는 전달되지 않았기 때문이다.

기록이 입증하는 것과 입증하지 못하는 것

아카이브는 이 기록에 B 등급을 부여한다 — 문서화되어 있으나 단일 또는 2차 출처에 근거한 등급이다 — 그리고 그 등급이 이 기록에서 가장 유용한 부분이다. 여기에서 검토된 보도 내용 중 연구와 모순되는 것은 없다. 문제는 모순이 아니라, 증거 사슬의 폭이 문서 하나에 불과하다는 점이다.

• 확인된 사실: Vigilance Security는 2026년 9월 23일 Simon의 이름으로 해당 연구를 발표했으며, 이 연구에는 위에서 설명한 주장들, 즉 374개 기업, 수만 페이지, 이름이 거론된 브랜드들, 그 메커니즘, 권위 차용 전략이 담겨 있습니다.

• 확인된 사실: 해당 연구는 같은 날 Dark Reading에서 보도되었고, 5일 이내에 IANS(9월 24일), GIGAZINE과 Ground Truth(9월 25일), 이스라엘 매체 Israel Defense를 인용한 NEWSru.co.il(9월 27일), 그리고 Aviatrix(9월 23일)와 Kronus Intelligence Group(9월 28일)의 공급업체 연구 페이지에서도 다루어졌다.

• 그것으로 입증되는 것은 아니다: 독립적 검증이 그것이다. 그 글들 각각은 사이먼의 게시물이나 이를 다룬 다크 리딩의 보도로 거슬러 올라가므로, 주장을 검증하기보다는 그대로 유포하는 셈이다. 아카이브가 두 번째로 인용한 URL인 bestsec.net은 매일 내용이 넘어가는 사이버보안 뉴스 다이제스트로, 2026년 10월 26일 당시 첫 화면에는 다크 소서리 관련 항목이 없었으므로, 다크 리딩 기사가 지속적인 인용 근거가 된다.

• 확립되지 않음: 규모. Ground Truth는 "해당 공개 자료가 주장하는 374개 영향 기업과 수만 페이지는 독립적으로 감사되지 않았으며" 공개 데이터셋, 악성 페이지 코퍼스, 재현 가능한 쿼리 로그가 공개되지 않았다고 분명히 밝힌다. Kronus Intelligence Group의 9월 28일 분석도 같은 결론에 도달하며 유용한 표기를 제안한다. 즉, 메커니즘은 확립된 것으로, 규모는 "보고되었으나 검증되지 않음"으로 설명하라는 것이다.

• 입증되지 않음: 연구진 스스로의 설명에 따르면 재현성. Ground Truth는 Simon이 결과를 통계적이라고 설명했으며 쿼리가 실행될 때마다 재현되는 것은 아니라고 말했다고 보도한다. 이는 검색 증강 시스템의 일반적인 특성이다 — 순위, 모델 버전, 위치, 시점, 표현 방식이 모두 달라진다 — 또한 이 발견을 요청 시점에 입증할 수 없었던 이유이기도 하다.

• 입증되지 않음: 피해의 규모. 아카이브는 실제 피해가 존재한다고 기록하지만, 그 근거는 협소하다. Simon은 Dark Reading에 Vigilance가 챗봇 답변에 제공된 사기성 번호로 인해 결제 세부정보나 결제 카드 데이터를 넘기도록 사기를 당했다고 불평한 사람들의 "몇 건의 사례"를 보았다고 말했다. 연구진은 또한 일부 가짜 번호로 직접 전화해 "우리 항공편을 변경"하거나 "우리 은행 계좌를 잠금 해제"해 주겠다고 제안한 담당자와 연결된 뒤 카드 세부정보를 요구받았다. 피해자의 이름은 밝혀지지 않았고, 손실은 수치화되지 않았으며, 민원이나 집행 조치도 인용되지 않았다.

• 이견 없음: 아카이브는 해당 항목을 다툼이 없는 것으로 기록하며, 그 기록은 타당하다 — 보도에서 남는 의문점은 공개 내용의 누락이지, 그에 대한 반론이 아니다.

두 플랫폼이 말한 것

NEWSru.co.il이 Israel Defense를 인용해 보도한 바에 따르면, 연구자들은 이 동작을 두 공급업체 모두에 보고했다. Google이 밝힌 입장은 이런 종류의 허위 정보는 자사의 취약점 공개 프로그램 범위를 벗어난다는 것이었다. OpenAI는 언어 모델 응답의 변동성을 고려할 때 연구 결과를 안정적으로 재현할 수 없다는 이유로 보고서를 종료했다고 한다. 두 요약은 모두 의역이다. 기사에는 어느 회사의 대변인 이름도 나오지 않고, 직접 인용도 없으며, 응답 시점도 명시되지 않는다.

어느 응답도 오염된 답변이 존재한다는 사실을 부인하지 않는다. 반박이 아니라 분류 판단으로 읽으면, 둘 다 적어도 내부적으로는 일관성이 있다 — 버그 바운티는 코드의 재현 가능한 결함에 보상을 주도록 설계된 제도인데, 이것은 요청 시 재현되는 것도 아니고 코드의 결함도 아니다. 오염된 페이지는 다른 사람의 웹사이트에 있다. 이 주고받음이 보여주는 것은 하나의 공백이다. 피해는 피해자를 낳을 만큼 실재하고, 그 행동은 재현 테스트를 통과하지 못할 만큼 변동성이 크기 때문에, 이것은 “보안 취약점”과 “콘텐츠 문제” 사이의 공간에 놓인다. 그곳에는 이를 기다리는 공개 채널이 없다.

크로누스의 9월 28일 분석 시점까지 OpenAI와 Google 어느 쪽도 374개 기업이라는 수치를 공개적으로 확인하거나 반박하지 않았으며, 여기서 검토한 어떤 보도에서도 두 회사 중 어느 곳의 성명도 나타나지 않는다.

그 후 무엇이 달라졌나요?

이에 대한 플랫폼 변경은 발표되지 않았다. 해당 캠페인은 9월 23일 보도 시점에 진행 중인 것으로 설명되었으며, 사이먼 자신의 평가에 따르면 집계는 아직 끝나지 않았다. "우리는 이러한 사기의 실제 영향이 지금 일어나고 있다고 믿으며, 아직 그 전체 영향을 완전히 이해하거나 측정할 수 없다."

대신 존재하는 것은 조언이다. Dark Reading이 보도한 Simon의 권고는 세 가지 방향으로 나뉜다. 사용자에게는 어시스턴트가 말하는 내용을 절대 틀리지 않는 것으로 취급하지 말고 검증하라고 한다. 브랜드에게는 사기 관련 고객 불만을 진지하게 받아들이고, 고객이 실제로 받는 AI 답변과 그 답변이 인용하는 출처를 모니터링하며, 잘못된 번호가 큰 비용을 초래하는 범주—지원, 계정 복구, 환불, 결제, 소프트웨어 다운로드—를 우선시하라고 한다. 에이전트를 운영하는 조직에게는 런타임에서 모니터링하고, 모델의 컨텍스트에 들어오는 모든 출처와 콘텐츠를 검증하며, 전화번호, 링크, 소프트웨어 패키지, 명령줄 같은 핵심 세부 정보를 행동에 옮기기 전에 확인하라고 한다. 그가 제안하는 비교 단계는 의도적으로 수동이다: "반환된 전화번호, 이메일 주소, URL을 검증된 회사 기록과 비교한 다음, 익숙하지 않은 세부 정보와 서로 무관한 웹사이트 전반에서 반복되는 지표를 조사하라."

IANS는 같은 {{1}}조언{{/1}}을 자체 교수진 검토에 넘겼고, Josh More는 이 캠페인을 하나의 계보에 놓았다 — "우리는 수년간 검색 엔진에서 이걸 봐 왔다" — George Gerchow는 그 메커니즘을 기억할 만한 한 문장으로 압축했다: "아무도 모델에 침입하지 않았다. 그들은 모델이 신뢰하는 출처에 씨앗을 심고 그것이 말하게 했다. 챗봇은 해킹당한 게 아니라 먹이를 받은 것이다." IANS의 교수진 권고안은 검증 조언에 브랜드 모니터링과 에이전트 자율성 제한을 추가하지만, 그중 어느 것도 해결책이 되지는 못한다.

기록을 보관할 가치가 있는 이유

검색 결과 포이즌링은 오래된 수법이다. 이 기록이 설명하는 것은 검색 결과가 더 이상 사용자가 보는 대상이 아니게 된 지점이다. 전통적인 방식에서는 피해자가 어떤 페이지에 도착하고, 그 페이지가 증거가 된다 — 철자는 엉망이고, 이상한 곳에 호스팅되어 있으며, 은행이 아니라는 점이 눈에 띈다. 여기서는 페이지가 렌더링되지 않는다. 모델이 그것을 읽고 동의한 뒤, 브랜드 이름으로 시작해 공격자의 번호로 끝나는 문장을 쓴다. 인용은 있을 수 있지만, 인용이 보통 뒷받침하는 판단은 이미 지치거나 의심하지 않는 무언가에 의해 내려진 뒤다.

그것이 또한 기록의 신뢰도 등급이 단순한 정리 작업이 아니라 실제로 중요한 역할을 하는 이유이기도 하다. 그 메커니즘 자체는 심각하게 의심받고 있지 않다 — 그것은 검색 증강 시스템이 구축되는 방식이며, 이에 관해 글을 쓴 업계 분석가들은 이를 보자마자 그럴듯하다고 여겼다. 규모는 의문이며, 누군가 코퍼스나 쿼리 로그를 공개할 때까지 의문으로 남을 것이다. 한 회사의 측정치가 모두 같은 게시물을 인용하는 매체들을 통해 유포되는 것은 그 사건을 기록할 이유이자, 마치 두 번 집계된 것처럼 그 수치를 반복해서는 안 될 이유이다.

아카이브 자체의 프레이밍은 이를 높은 심각도로 규정하며, AI 연루가 확인되었고, 실제 피해가 기록되었으며, 이견은 붙어 있지 않다. 이 항목이 실제로 문서화하는 것은 신뢰의 이전이다. 브랜드의 평판은 원료이고, 어시스턴트의 유창함은 전달 메커니즘이며, 이를 잡아냈을 검증 단계는 91%의 사용자가 건너뛴다고 하는 바로 그 단계다.