- 크롬은 버전 149와 150에서 총 1.072개의 보안 취약점을 수정했는데, 이는 이전 23개 버전을 합친 것보다 더 많은 수치입니다.
- 제미니 기반 에이전트가 로컬 파일을 읽을 수 있도록 허용하는 13년 된 취약점을 발견했습니다.
- 구글은 일주일에 두 번씩 패치를 배포하여 업데이트 속도를 높이고 있으며, 재부팅 없이 동적으로 패치를 적용하는 기능을 개발 중입니다.
- AI는 탐지, 분류, 패치 생성 및 검증을 포함한 전체 주기 전반에 통합되어 있습니다.
세계에서 가장 인기 있는 웹 브라우저인 구글 크롬이 보안 측면에서 큰 도약을 이루었습니다. 최근 두 버전에서 총 1.072개의 취약점을 패치했는데, 이는 지난 2년간 적용된 패치 건수를 넘어선 수치입니다. 구글은 이러한 성과를 인공지능을 취약점 탐지 및 복구 프로세스에 대폭 통합한 덕분이라고 설명했습니다.
크롬 보안팀이 공개한 자료에 따르면, 2016년 6월에 출시된 버전 149와 150에는 이전 23개 주요 버전을 모두 합친 것보다 더 많은 수정 사항이 포함되어 있습니다. 대규모 언어 모델(LLM)을 사용함으로써 버그 식별부터 패치 후보 생성에 이르기까지 이전에는 수주간 수작업이 필요했던 작업들을 자동화할 수 있게 되었습니다 .
인공지능 에이전트가 13년 동안 숨겨져 있던 결함을 발견했습니다.
이 새로운 접근 방식의 가장 주목할 만한 결과 중 하나는 10년 넘게 발견되지 않았던 심각한 취약점을 찾아낸 것입니다. 2026년 초에 개발된 제미니 기반 에이전트는 CVSS 점수 9,8의 샌드박스 탈출 취약점을 발견했습니다 . CVE-2026-3545로 등록된 이 결함은 손상된 렌더링 프로세스가 브라우저를 속여 시스템의 로컬 파일을 읽도록 허용했습니다.
구글은 이 시스템이 알려진 모든 취약점 기록과 크로뮴 소스 코드 전체를 사용하여 학습되었다고 설명합니다. 에이전트는 인터넷에 접속할 수 없는 격리된 환경에서 코드를 분석하므로 AI 자체가 악의적으로 사용될 위험이 줄어듭니다. 또한 개발자는 SECURITY.md 파일을 추가하여 모델이 각 구성 요소에 대한 신뢰 경계를 식별하도록 도울 수 있습니다.
엔드투엔드 자동화
인공지능은 단순히 결함을 찾아내는 데 그치지 않고, 취약점 관리의 전 과정에 참여합니다. 시스템은 중복 보고서를 걸러내고, 버그를 재현하고, 심각도를 판단한 후, 적절한 개발자에게 작업을 할당합니다 . 구글은 이러한 과정을 통해 매달 수백 시간의 업무 시간을 절약할 수 있다고 추산합니다.
수정 단계에서는 한 에이전트가 여러 패치 제안을 생성하고, 다른 에이전트는 검토자 역할을 하여 크로미움 프로젝트의 스타일 가이드와 솔루션을 비교합니다. 이 모델들은 이미 대부분의 취약점에 대한 수정 후보를 생성하고 있으며 , 5월 한 달 동안에만 심각한 취약점 하나를 포함하여 20개 이상의 결함이 프로덕션 환경에 배포되는 것을 막았습니다.
또한, 이 회사는 이러한 도구들을 지속적 통합 시스템에 통합하여 모든 빌드 단계에서 24시간마다 보안 검사를 실행하고 있습니다. 이를 통해 코드가 사용자에게 도달하기 전에 취약점을 사전에 탐지할 수 있으며 , 외부 연구원이 문제를 보고할 때까지 기다리는 기존 모델에서 완전히 벗어난 혁신적인 변화입니다.
더 빠른 업데이트 및 동적 패치
수많은 취약점 발견으로 인해 구글은 업데이트 주기를 재검토하게 되었습니다. 크롬은 이미 2주 주기의 주요 업데이트와 주간 보안 업데이트를 진행하고 있으며 , 현재는 주 2회 패치 테스트를 실시하고 있습니다. 크롬 엔지니어링 책임자인 더그 터너는 이러한 결정이 수많은 수정 사항 때문이라고 설명했습니다.
패치 출시와 설치 사이의 시간 간격을 줄이기 위해 Google은 동적 패칭 기술을 개발 중입니다. 이 기술을 통해 브라우저를 재시작하지 않고도 업데이트를 적용할 수 있으며 , 현재 macOS에서 백그라운드에서 실행 중이고 창이 열려 있지 않은 경우 자동으로 재시작되는 기능을 테스트하고 있습니다.
미래: Rust를 사용하면 구조적 오류가 더 적어집니다.
구글은 버그를 하나씩 수정하는 것을 넘어, 취약점 유형 전체를 제거하는 것을 목표로 하고 있습니다. 이를 위해 크롬 코드 일부를 메모리 관리 측면에서 C++보다 안전한 프로그래밍 언어인 Rust로 재작성하고 있습니다. 또한, MiraclePtr 및 MiracleObject와 같은 보호 기법을 배포하여 출시 후 발생하는 버그를 차단하고 있습니다.
크롬 부사장인 파리사 타브리즈는 AI가 방어와 공격 모두에 혁신적인 변화를 가져왔다고 언급했습니다. 그녀는 WIRED와의 인터뷰에서 "모든 것이 더 안전해지기를 바라지만, 자동으로 개선될 것이라고 당연하게 생각하지는 않습니다 ."라고 말했습니다. 그녀는 업계 전체가 뒤처지지 않기 위해 이러한 도구를 도입하는 것이 중요하다고 강조했습니다.
보안팀은 인공지능이 가장 명백한 취약점을 식별하고 나면 현재 급증하는 취약점 발견 속도가 둔화될 것으로 예상합니다. 하지만 그동안 전례 없는 속도로 패치가 진행 되므로 사용자는 보안을 유지하기 위해 브라우저를 지속적으로 업데이트해야 합니다.
인공지능, 자동화, 그리고 구조적 변화의 결합으로 크롬의 보안이 새롭게 정의되고 있습니다. 올해 들어 1.800건이 넘는 패치가 적용되면서 크롬은 공격에 대한 방어력이 더욱 강화되었지만 , 이러한 우위를 유지하기 위한 노력은 결코 멈추지 않습니다. 구글은 인공지능이 취약점을 발견할 뿐만 아니라 소프트웨어 설계 단계부터 이를 예방할 수 있도록 지원하는 모델을 구축하는 데 전념하고 있습니다.
