[국내보안뉴스] AI 모델 활용해 6일 만에 크롬 제로데이 공격 체인 구축… 보안 위협의 새로운 국면
· 2026-10-15 11:00
· 조회 17
· 원문 ↗
보안 전문 기업 엑스보우(XBOW)가 오픈AI의 공개 AI 모델을 활용해 단 6일 만에 구글 크롬(Chrome) 웹 브라우저의 샌드박스를 우회하는 공격 체인을 개발하는 데 성공했습니다. 이번 공격 방식은 자바스크립트 엔진 V8, 애니메이션 WebP 처리 기능, 그리고 충돌 보고 도구인 크래시패드(Crashpad)에 존재하는 3개의 취약점을 연쇄적으로 연결한 형태입니다. AI가 단순 코딩 보조를 넘어 복잡한 브라우저 타격용 공격 체인 설계까지 주도할 수 있음을 입증한 사례로, 구글은 해당 연구 가치를 높이 평가해 25만 달러의 포상금을 지급했습니다.
해당 위협의 영향 범위는 윈도우(Windows) 운영체제 환경에서 구글 크롬 브라우저를 이용하는 전체 사용자였습니다. 사용자가 공격자가 구축한 악성 웹페이지에 단순 접속하는 것만으로도 브라우저의 이중 격리 장벽(샌드박스)이 무력화되어 원격 코드가 실행될 수 있는 위험한 상태였습니다. 특히 이번 연구는 고도화된 취약점 연쇄 공격(Exploit Chain)을 개발하는 데 필요한 시간과 기술적 진입장벽을 AI가 얼마나 극적으로 단축할 수 있는지를 명확히 보여줍니다.
다행히 이번 취약점은 윤리적 해킹을 통해 발굴되었으며, 구글은 관련 취약점 3개에 대한 보안 패치를 모두 완료한 상태입니다. 크롬 이용자는 브라우저를 즉시 최신 버전으로 업데이트하여 위험을 해소해야 합니다. 아울러 기업의 보안 담당자들은 향후 AI를 결합한 초고속·지능화 공격이 더욱 빈번해질 것으로 보고, 실시간 공격 탐지 및 신속한 패치 관리 프로세스를 재점검하는 대응책을 마련해야 합니다.
AI가 복잡한 공격 체인을 단 6일 만에 완성할 수 있음을 보여준 경각심 높은 사례입니다. V8이나 WebP처럼 C/C++ 기반 코드의 메모리 안전성(Memory Safety) 취약점은 언제든 샌드박스 우회로 이어질 수 있으므로, 핵심 모듈의 Rust 전환과 아키텍처 수준의 격리 강화가 시급합니다. 이제 개발 조직도 CI/CD 파이프라인에 AI 기반 퓨징(Fuzzing)과 보안 분석을 필수로 통합하여 시큐어 코딩 프로세스를 고도화해야 합니다.
V8 엔진부터 크래시패드까지 취약점 3개를 조합해 샌드박스를 완벽히 우회하는 연쇄 공격(Exploit Chain)의 구조가 매우 위협적입니다. 특히 범용 AI 모델을 활용해 단 6일 만에 복잡한 RCE 체인을 무기화했다는 점은 제로데이 공격 개발의 진입장벽과 소요 시간이 획기적으로 줄어들었음을 보여줍니다. 앞으로는 AI가 생성하는 고도화된 연쇄 공격에 대응하기 위해 단일 취약점 조치를 넘어 다층 방어 체계를 공격자 관점에서 재점검해야 합니다.
생성형 AI가 복잡한 공격 체인 개발 기간을 며칠 단위로 단축시킨 이번 사례는 사이버 위협의 고도화 속도를 극명하게 보여줍니다. 이제 기존의 느린 패치 관리 주기 체계로는 한계가 있으며, 제로 트러스트 기반의 다층 방어와 신속한 패치 Governance 재정비가 시급합니다. 공격자가 AI를 활용하는 만큼, 기업의 방어 체계 역시 AI 기반의 선제적 취약점 탐지 및 대응 역량을 조속히 고도화해야 합니다.