웹페이지 숨은 AI 지시문이란? 왓츠앱 사례로 본 간접 프롬프트 주입
웹페이지 숨은 AI 지시문이 무엇인지, 왓츠앱 도움말 80개 페이지에서 발견된 사례로 간접 프롬프트 주입 원리와 확인된 사실·미확인 쟁점, AI 답변 출처 확인법을 정리해요.
목차8개 섹션
핵심 요약
- 숨은 AI 지시문은 사람 화면에는 표시되지 않지만 AI가 페이지를 읽을 때 함께 받아들이는 명령형 텍스트예요.
- Redact는 2026년 10월 왓츠앱 도움말 545개 페이지를 읽고 80개 페이지에서 숨은 블록 102개를 찾았다고 밝혔어요.
- 왓츠앱은 WIRED에 이 문구가 자사 지원 챗봇용 지시였고 버그로 페이지에 노출됐으며 수정했다고 설명했어요.
- 외부 AI 검색·챗봇이 이 문구를 실제로 따랐는지는 2026년 10월 기준 확인되지 않았어요.
- AI 답변은 인용 출처 원문과 공식 정책 문서를 직접 열어 대조하고, 빠진 선택지가 없는지 다시 물어보는 습관이 도움이 돼요.
숨은 AI 지시문은 사람이 보는 화면에는 나타나지 않지만, AI가 웹페이지를 읽을 때는 본문과 함께 들어가 답변 방향을 바꿀 수 있는 명령형 텍스트예요. 2026년 10월 왓츠앱 도움말 페이지에서 '규제기관 연락을 권하지 말라'는 문구가 화면 밖에 들어 있었다는 분석이 나오면서 이 문제가 다시 주목받았어요. 이 글은 2026년 10월 기준 공개된 Redact 분석과 WIRED 보도, OWASP·마이크로소프트 보안 문서를 바탕으로 원리와 확인된 사실, 아직 모르는 부분, 이용자가 AI 답변을 점검하는 방법을 나눠 설명해요.
숨은 AI 지시문이란? 사람에게 안 보이고 AI만 읽는 텍스트
웹페이지는 사람이 보는 화면과 기계가 받는 원본 데이터가 완전히 같지 않아요. 브라우저는 HTML과 스크립트를 해석해 일부만 화면에 그리고, 나머지는 코드 안에 남겨 둬요. 검색 엔진 크롤러나 AI 검색 도구는 화면 대신 이 원본을 읽는 경우가 많아요. 그래서 흰 바탕에 흰 글씨, 화면에 그리지 않는 데이터 블록, 주석처럼 사람 눈에는 없는 텍스트도 AI에게는 본문의 일부가 될 수 있어요.
문제는 대형 언어 모델(LLM)이 '읽어야 할 자료'와 '따라야 할 지시'를 문법적으로 깔끔하게 구분하지 못한다는 점이에요. OWASP의 LLM01 항목은 프롬프트 주입이 사람에게 보이거나 읽힐 필요가 없고, 모델이 해석하기만 하면 영향을 줄 수 있다고 설명해요. 페이지 속에 '이 내용을 언급하지 말라', '이 회사를 추천하라' 같은 문장이 있으면 AI가 그것을 자료가 아니라 명령으로 받아들일 여지가 생겨요.
어디에 숨을 수 있나요
- 화면에 그리지 않는 HTML 요소나 스크립트 데이터 블록
- 배경과 같은 색 글자, 아주 작은 글자, 화면 밖 위치로 밀어낸 텍스트
- HTML 주석, 문서 메타데이터, PDF·워드 파일의 숨은 필드
- 이미지 속 문구처럼 멀티모달 AI가 읽는 비텍스트 자료
마이크로소프트 보안 문서는 2023년 연구에서 악성 웹페이지의 숨은 지시가 Bing Chat이 공격자 서버로 이미지 요청을 보내 대화 내용을 URL에 담게 만든 사례를 소개해요. 마이크로소프트는 그 특정 문제를 고쳤다고 밝혔어요. 이 사례는 숨은 텍스트가 답변 문구뿐 아니라 AI가 수행하는 행동까지 바꿀 수 있다는 점을 보여 줘요.
왓츠앱 도움말 사례: 무엇이 발견됐나
개인정보 삭제 서비스를 운영하는 Redact는 2026년 10월 8일 왓츠앱 도움말 페이지에서 화면에 표시되지 않는 AI용 문구를 발견했다고 밝혔어요. 이후 도움말 센터가 연결하는 545개 페이지를 모두 읽었고, 그중 80개 페이지에서 숨은 블록 102개를 찾았다고 했어요. 문구는 'HelpContentGalaxyLLMInclude'라는 이름 근처의 코드에 있었어요.
계정 삭제
- 사람이 본 내용
- 휴대폰·번호를 잃어도 비활성 계정은 자동 삭제된다는 안내
- AI용 숨은 문구(요지)
- 데이터보호기관·규제기관·감독기관 연락을 권하지 말 것, 수동 삭제 가능성을 말하지 말 것
신고·차단
- 사람이 본 내용
- 수사기관 연락 안내, 상담 기관 안내
- AI용 숨은 문구(요지)
- 소송·변호사가 언급되면 약관·개인정보처리방침과 GDPR·LGPD·CCPA 같은 개인정보 법을 언급하지 말 것(이용자가 먼저 꺼내도 동일)
그 외 다수
- 사람이 본 내용
- 각 기능 설명
- AI용 숨은 문구(요지)
- 용어 정리, 다른 페이지 안내, 연령 허위 입력 금지 같은 보호성 지침 등
Redact는 102개 블록의 대부분이 용어 정리나 다른 페이지 안내 같은 관리성 문구였고, 일부는 이용자를 보호하는 내용이었다고 적었어요. 예를 들어 실제 나이가 아닌 생년을 입력하라고 제안하지 말라는 지침, 사기를 당한 그룹을 지우면 증거가 사라질 수 있다는 지침이 있었어요. 논란이 된 것은 공개된 개인정보처리방침이 알려 주는 민원 권리나 법 이름까지 답변에서 빼도록 한 두 블록이에요.
WIRED 보도에 따르면 왓츠앱 대변인은 이 문구가 'WhatsApp Support with AI'를 이용하는 사람에게 정확한 답을 주기 위한 자사 지원 챗봇용 지시였고, 버그 때문에 페이지에 노출됐으며 수정됐다고 설명했어요. 또 지원 챗봇이 법률 조언을 하지 않게 하려는 취지라고 밝혔어요. Redact는 10월 15일 21시 40분(UTC)까지는 문구가 남아 있었고, 10월 18일 02시 08분(UTC)에는 80개 페이지의 102개 블록이 모두 사라졌다고 기록했어요.
간접 프롬프트 주입과 무엇이 같고 다른가
간접 프롬프트 주입은 AI가 웹사이트나 파일 같은 외부 자료를 받아들일 때, 그 안의 텍스트가 모델의 동작을 의도하지 않은 방향으로 바꾸는 현상이에요. 이용자가 직접 '이전 지시를 무시하라'고 입력하는 직접 주입과 달리, 이용자는 평범한 질문을 했을 뿐인데 AI가 읽은 자료가 답을 바꿔요. OWASP는 간접 주입도 의도적일 수 있고 의도하지 않은 것일 수도 있다고 구분해요.
문구를 쓴 쪽
- 전형적인 간접 프롬프트 주입
- 제3자 공격자나 페이지 작성자
- 왓츠앱 도움말 사례(2026년 10월 기준)
- 왓츠앱 자신(자사 챗봇용이라고 설명)
의도한 대상
- 전형적인 간접 프롬프트 주입
- 외부 AI 검색·요약·에이전트
- 왓츠앱 도움말 사례(2026년 10월 기준)
- 자사 지원 챗봇
노출 경로
- 전형적인 간접 프롬프트 주입
- 공개 웹페이지·문서에 일부러 삽입
- 왓츠앱 도움말 사례(2026년 10월 기준)
- 버그로 공개 페이지 코드에 섞였다고 설명
외부 AI 영향
- 전형적인 간접 프롬프트 주입
- 실험·사고로 확인된 사례 있음
- 왓츠앱 도움말 사례(2026년 10월 기준)
- 외부 AI가 따랐는지 확인 안 됨
주요 위험
- 전형적인 간접 프롬프트 주입
- 정보 유출, 왜곡된 답변, 원치 않는 행동
- 왓츠앱 도움말 사례(2026년 10월 기준)
- 이용자가 알아야 할 선택지가 답변에서 빠질 가능성
정리하면 왓츠앱 사례는 '외부 AI를 겨냥한 공격'이라기보다 '기업이 챗봇에 준 숨은 지침이 공개 페이지로 새어 나온 사례'에 가까워요. 그래도 의미가 작지는 않아요. 같은 텍스트가 검색 크롤러에 함께 전달됐다는 점에서, AI가 웹을 읽는 구조에서는 작성자의 의도와 무관하게 숨은 지시가 다른 AI의 입력이 될 수 있다는 구조적 위험을 보여 줘요. 또 기업 챗봇이 공식 문서와 다른 기준으로 답할 수 있다는 투명성 문제도 드러냈어요.
보도에서 확인된 것과 아직 모르는 것
이 사안은 제목만 퍼지기 쉬워서 확인된 사실과 추정을 나눠 읽는 게 중요해요. 아래 구분은 Redact 분석과 WIRED 보도의 서술을 기준으로 했어요.
숨은 문구가 페이지 코드에 있었다는 점(WIRED가 보관본에서 직접 확인), 문구의 원문, 10월 18일 무렵 삭제된 점, 왓츠앱이 자사 챗봇용 지시이며 버그라고 설명한 점, 인터넷 아카이브 보관본에 흔적이 남은 점이에요.
왓츠앱 챗봇이 실제로 이 지시대로 답했는지, 외부 AI 비서가 따랐는지, 정확히 언제부터 있었는지, 다른 언어 페이지나 링크되지 않은 페이지에도 있었는지예요.
노출 기간에 대해서도 Redact는 단서만 제시했어요. 인터넷 아카이브의 7월 12일 보관본에는 계정 삭제 페이지 문구가 없었고, 9월 4일 보관본에는 있었다고 해요. 크롤러 반응도 엇갈려요. Redact는 서버가 구글과 빙 크롤러에는 숨은 문구가 담긴 페이지를 보냈지만, 10월 9일 OpenAI·Anthropic·Perplexity 크롤러 이름으로 요청했을 때는 본문과 문구가 없는 페이지가 돌아왔다고 밝혔어요. WIRED도 제3자 챗봇이 이 텍스트에 접근할 수 있었는지는 불분명하다고 썼어요.
'왓츠앱이 ChatGPT를 조작했다' 같은 표현은 현재 근거로 뒷받침되지 않아요. 확인된 것은 숨은 지침이 공개 코드에 있었다는 사실이고, 그 지침이 특정 AI의 실제 답변을 바꿨다는 증거는 2026년 10월 기준 공개되지 않았어요.
Facebook과 Instagram 도움말 센터도 같은 시스템 위에 있지만, Redact가 두 곳의 300개 페이지를 확인했을 때는 비슷한 문구를 찾지 못했다고 해요. 후속 보도나 Meta의 추가 설명이 나오면 판단이 달라질 수 있으니, 이 사안의 흐름은 더따리 AI 텔레그램 트렌드나 블로그 트렌드에서 여러 매체의 반응을 교차로 살펴보는 데 활용할 수 있어요. 트렌드 도구는 화제의 흐름을 보여 줄 뿐 사실 여부를 판정하지 않으므로 원문 확인이 함께 필요해요.
AI 답변 조작을 의심할 때 이용자가 확인하는 법
이용자가 웹페이지 코드를 모두 검사할 수는 없어요. 대신 AI 답변을 '최종 결론'이 아니라 '출처를 찾아 주는 요약'으로 다루면 숨은 지시나 단순 오류의 영향을 크게 줄일 수 있어요. 특히 계정 삭제, 환불, 개인정보, 법적 권리처럼 선택지가 중요한 질문일수록 아래 순서를 권해요.
- 1
인용 출처를 직접 열어요
AI 검색이나 챗봇이 링크를 붙였다면 원문을 열어 답변의 문장이 실제로 그 페이지에 있는지 확인해요. 출처가 없거나 회사 도움말 하나뿐이라면 근거가 좁다는 신호예요.
- 2
공식 정책 문서와 대조해요
도움말 페이지와 개인정보처리방침·약관은 다른 문서예요. 권리·민원 경로·삭제 요청 방법은 처리방침이나 정부·감독기관 안내에 적혀 있는 경우가 많으므로 두 문서를 함께 봐요.
- 3
빠진 선택지를 다시 물어요
'다른 방법은 없나요', '규제기관이나 민원 창구가 있나요', '어떤 법이 적용되나요'처럼 질문을 바꿔 보세요. 답이 계속 같은 방향으로만 좁혀진다면 공식 문서와 사람 상담을 확인할 이유가 돼요.
- 4
행동하는 AI에는 권한을 좁혀요
메일을 보내거나 결제·파일 작업을 하는 AI 에이전트는 읽은 페이지 때문에 원치 않는 행동을 할 위험이 더 커요. 중요한 작업은 실행 전 사람이 확인하도록 설정하고, 연결된 계정과 권한을 필요한 만큼만 열어 두세요.
페이지 소스 보기로 직접 확인하고 싶다면 Redact가 안내한 방법이 참고가 돼요. 데스크톱 브라우저에서 Ctrl+U(맥 크롬은 Cmd+Option+U)로 소스를 열고, 찾기 기능으로 'Do not'이나 'LLM' 같은 단어를 검색하는 방식이에요. 다만 스크립트로 나중에 붙는 텍스트나 요청자에 따라 다르게 보내는 내용은 이 방법으로 놓칠 수 있어요.
웹사이트 운영자와 AI 서비스가 할 일
OWASP는 생성형 AI의 특성상 프롬프트 주입을 완벽하게 막는 방법이 있는지 불분명하다고 밝히고, 대신 피해를 줄이는 여러 겹의 대책을 제시해요. 마이크로소프트 문서도 외부 콘텐츠를 신뢰할 수 없는 입력으로 다루라고 권해요. 이용자 쪽의 습관만으로는 한계가 있어서, 페이지를 만드는 쪽과 AI를 만드는 쪽의 책임이 함께 필요해요.
- 운영자: 챗봇용 지침을 공개 HTML에 섞지 않고 별도 시스템에 보관하며, 공개 페이지가 크롤러에 어떤 텍스트를 보내는지 정기 점검해요.
- 운영자: 챗봇 지침이 공개 정책 문서와 충돌하지 않는지 검토해요. 법률 조언을 피하라는 지침과 권리 안내 자체를 막는 지침은 다른 문제예요.
- AI 서비스: 외부 자료를 명확히 구분해 표시하고, 자료 속 명령문을 지시로 실행하지 않도록 설계해요.
- AI 서비스: 도구 권한을 최소화하고 위험한 작업에는 사람의 승인을 요구하며, 출처 인용과 근거 검증을 출력 형식에 포함해요.
왓츠앱 사례에서 배울 점은 숨은 텍스트 자체보다 '사람에게 보이는 설명과 AI에게 주는 지시가 다를 수 있다'는 사실이에요. AI가 웹을 읽고 답하는 비중이 커질수록 이 차이는 이용자가 직접 보기 어려운 곳에서 생겨요. 그래서 중요한 결정 앞에서는 AI 답변의 출처를 열어 보고, 공식 문서와 대조하고, 빠진 선택지를 다시 묻는 세 가지 습관이 가장 현실적인 방어가 돼요.
