AI 보안 스타트업 XBOW 연구진이 오픈AI의 GPT-5.6 솔을 활용해 크롬 브라우저의 제로데이 취약점 3개를 연결한 익스플로잇을 6일 만에 개발했다. 영국 IT 매체 더 레지스터가 현지 시각 10월 14일 보도했다. XBOW는 전 세계 크롬 사용자 약 10억 명이 영향권에 있었다고 추산했다.

공격 체인은 윈도우용 크롬에서 작동했으며, 보안 경계 두 곳을 넘는 3단계로 구성됐다. 첫 단계는 크롬 자바스크립트 엔진 V8의 최적화 컴파일러 마글레브 버그로, V8 내부 메모리를 읽고 쓸 수 있게 했다. 두 번째는 애니메이션 WebP 디코더 버그를 활용한 V8 샌드박스 탈출이고, 마지막은 크래시패드의 메모리 오버플로를 이용해 프로세스 샌드박스 밖에서 코드를 실행하는 단계다. 구글은 세 취약점을 모두 수정하고, 크롬 전체 체인 익스플로잇에 지급하는 최고 포상금인 25만 달러(약 3억 3,525만 원)를 지급했다. 수정은 크롬 152.0.7977.82 이후 버전에 반영됐으며, 브라우저를 다시 실행해야 적용된다.

작업에는 브렌던 돌란개빗, 안드레스 룩센버그, 바울 리, 빌럼 핑커스가 참여했다. 연구진은 블랙햇과 데프콘 행사 기간에 작업을 진행했고, 토큰 비용으로 약 4만 달러(약 5,364만 원)를 썼다. GPT-5.6 솔 기반 에이전트는 소스 코드를 탐색하고 연구진의 가설을 검증했으며, 개념 증명과 익스플로잇 단계를 작성했다. 공격 대상 선정과 맥락 제공, 결과 검토, 공격 요소 조합은 사람이 맡았다.

외허 더무르 XBOW 창업자 겸 CEO는 정보기관 출신 인사로부터 과거 그의 팀이 이런 작업에 6개월을 쓰곤 했다는 이야기를 들었다고 전했다. 그는 13일 “수표에 적힌 금액도 인상적이지만, 우리는 6일 만에 해냈다”고 말했다. 돌란개빗은 방어 측에 “그에 맞게 대비하라”고 경고했다. 그는 대형언어모델(LLM)을 갖춘 공격자에게는 진입 장벽이 크게 낮아졌다고 지적했다.

자세한 내용은 더 레지스터(The Register)에서 확인할 수 있다.

이미지 출처: XBOW