XBOW는 공개 AI 모델 GPT-5.6과 연구진의 협업으로 크롬의 취약점 세 개를 연결한 공격 체인을 6일 만에 만들었다고 밝혔다. 이 공격은 악성 웹사이트 방문만으로 윈도우 컴퓨터를 원격 장악할 수 있는 방식이었으며, 구글은 취약점을 모두 수정했다. XBOW는 이 성과로 구글에서 25만 달러의 포상금을 받았다.
크롬은 웹페이지를 장악하는 취약점 하나만으로는 컴퓨터 전체에 접근할 수 없도록 방어를 여러 겹으로 구성한다. 이번 공격 체인은 각 방어 단계를 넘는 버그를 함께 이용해 일반 웹페이지에서 컴퓨터까지 접근하도록 설계됐다. XBOW는 앞서 제출한 체인에 이미 알려진 버그가 포함됐다는 구글의 통보를 받은 뒤, 대체 취약점을 활용해 새 체인을 만들었다.
XBOW에 따르면 GPT-5.6은 크롬 소스 코드를 검색하고 아이디어를 시험했으며, 개념 증명과 공격 코드 초안을 작성했다. 연구진은 조사 방향과 전략을 정하고 AI 에이전트의 작업을 확인·수정했다. 체인은 서로 독립적인 세 부분으로 나뉘었고, 각 부분에 대체 수단을 마련해 기존에 보고된 버그를 빠르게 교체할 수 있었다. 수상한 체인을 만드는 데 6일간 쓴 컴퓨팅 비용은 4만 달러였다고 XBOW는 밝혔다.
기술적 세부 내용은 XBOW의 동반 글에서 확인할 수 있다. XBOW는 앞으로 1년 안에 체인을 구성한 세 취약점을 각각 AI 에이전트가 단독으로 찾아낼 수도 있다고 내다봤다. 이는 회사의 전망이며, 실제로 검증된 결과는 아니다.
크롬의 세 취약점은 모두 수정됐다. XBOW는 브라우저를 최신 상태로 유지하고, 업데이트 버튼이 나타나면 다시 시작해 수정 사항을 적용하라고 권고했다. 또 소프트웨어를 공격받을 수 있다고 가정하고 자체 테스트를 앞당기되, 모든 취약점을 찾을 수는 없다는 점을 고려해 대응 계획도 마련해야 한다고 밝혔다.
댓글 (0)
로그인하면 이 기사에 내 생각을 남길 수 있어요