앤트로픽 내부 AI 모델이 크롬과 사파리에서 실제 공격 체인을 찾아냈다
앤트로픽이 아직 공개하지 않은 내부 연구용 모델을 동원해 크롬, 사파리, 안드로이드, 윈도우, 그리고 리눅스·BSD 계열까지 아우르는 핵심 소프트웨어에서 실제로 작동하는 공격 체인 5종을 확보했다고 공개했다. 브라우저와 운영체제의 결함은 수십억 명 규모의 사용자에게 곧바로 영향을 줄 수 있기 때문에, 이번 작업은 모델의 취약점 연구 능력과 공격적 사이버 역량을 재는 시험대로 쓰였다. 발견된 결함은 모두 해당 벤더에 먼저 전달됐고, 패치에 90일, 세부 공개에 추가 45일을 두는 조정된 취약점 공개 절차를 거쳤다.
가장 눈에 띄는 것은 크롬 사례다. 악성 페이지가 열린 뒤 몇 초 안에, 사용자의 추가 조작 없이 macOS 기본 설정 크롬에서 계산기 앱을 실행하는 것까지 확인했다. 경로는 다섯 단계로 이어진다. 먼저 V8 자바스크립트 엔진의 힙 메모리를 손상시키고, V8 메모리 영역 샌드박스를 탈출하면서 ASLR까지 무력화한 뒤 ROP 체인으로 렌더러 프로세스를 장악했다. 이어 CacheStorage의 경쟁 조건을 이용해 샌드박스 바깥 메모리를 읽고 권한이 높은 브라우저 프로세스의 메모리 배치를 파악했으며, 마지막으로 연합 로그인 기능인 FedCM의 use-after-free로 샌드박스 밖에서 임의 코드를 실행했다. 구글에 보고된 뒤 크롬 156 기준으로 62개의 CVE가 부여되고 수정됐는데, 전부 심각 또는 높음 등급이며 그중 13개가 샌드박스 탈출, 21개가 렌더러 장악에 악용될 수 있는 항목이다.
사파리에서는 어떤 웹사이트의 자바스크립트든 동일 출처 정책(SOP)을 완전히 넘어서는 체인이 나왔다. 방문 기록과 쿠키, 세션 데이터에 접근하고 다른 도메인으로 인증된 요청을 보낸 뒤 응답까지 읽어낼 수 있다는 뜻이며, 사용자가 메일이나 은행에 로그인해 둔 상태라면 그대로 노출된다. 여기서도 방어선은 층층이 뚫렸다. JavaScriptCore의 use-after-free로 해제된 메모리를 가리키는 포인터에 TypedArray 연산을 태워 메타데이터를 덮었고, TypedArray 데이터를 격리하는 Gigacage는 내부 변수가 다른 영역을 인덱싱하는 지점을 이용해 우회했다. WebContent 샌드박스는 IPC 메커니즘의 결함을 통해 디스크에 있는 기록·쿠키·세션 데이터베이스를 읽는 통로가 됐다. 흥미로운 대목은 임의 코드 실행을 전혀 쓰지 않았다는 점이다. 프로세스 메모리에 대한 읽기·쓰기 권한만으로 보안 플래그와 객체 크기, URL을 바꾸는 데이터 전용 공격이었고, 개별로는 취약점이 아니라 설계된 동작에 불과한 약점들이 조합되는 순간 공격 무기가 됐다. 애플은 보고 당일 이를 인지하고 수정본을 배포했다.
안드로이드 쪽은 잠긴 채로 도난당한 기기에서 사진과 개인정보를 빼내는 시나리오다. 오픈소스 부분의 소스 코드 분석, 구글 플레이 서비스 바이너리의 역공학과 난독화 해제, 실제 픽셀 9 기기에서의 현장 테스트를 함께 엮어 취약점 세 개를 하나의 공격으로 연결했다. 잠긴 기기는 USB로 데이터를 내보내지 못하게 되어 있지만 특정 설정을 가진 USB 호스트로 이를 우회했고, 기기 간 전송 프로토콜의 피어 인증 검사는 건너뛰고 페어링을 시작했으며, 6자리 코드 확인으로 보호되는 페어링은 검증을 생략한 채 사용자가 '허용'을 누른 것처럼 동작하게 만들었다. 파일 내용을 USB로 싣지 못하도록 하는 하드코딩 검사도 그 검사를 거치지 않는 대체 경로로 원시 바이트를 흘려보내 피해갔다. 구글이 이 문제를 조치했다.
윈도우에서는 HTTP/3 요청에 응답하는 모든 머신을 원격에서 다운시킬 수 있는 결함이 나왔다. 윈도우 커널의 QUIC 구현에 있는 경계 밖 읽기로, 네트워크 너머에서 취약한 코드 경로에 도달해 패킷 몇 개만 보내면 시스템이 크래시와 재시작을 반복한다. 같은 요청을 계속 날리면 서버가 사실상 접속 불가 상태에 빠지고, 인터넷에 노출된 이런 서버가 수백만 대 규모로 추정된다. CVE-2026-33096이 부여됐고 마이크로소프트가 수정했다. 이 사례에서 어려웠던 것은 익스플로잇 작성이 아니라 취약점을 처음 찾아내는 일이었다. 바이너리 사본을 주고 Ghidra 같은 역공학 도구로 동작을 복원하게 한 뒤, 주석을 단 C 프로그램으로 해당 기능을 재현하고 원본 바이너리와 거동을 대조해 정확성을 검증한 다음 코드를 훑게 하는 방식이 쓰였다.
오픈소스 진영에서도 결과가 이어졌다. OpenBSD·FreeBSD·리눅스의 로컬 권한 상승 결함, 널리 쓰이는 샌드박싱 인프라의 탈출 경로, 주요 웹 애플리케이션의 취약점이 함께 보고됐다. 원문은 리눅스의 제로클릭 원격 코드 실행 사례도 예고하고 있으나, 이번에 확인된 발췌 범위에서는 세부 내용까지는 드러나지 않는다.
이번 결과가 나온 배경에는 취약점 연구에 모델을 투입하는 흐름이 있다. 사람이 초기 프롬프트를 던지면 이후에는 모델이 여러 단계의 익스플로잇을 스스로 엮어낸다는 구도이며, 오픈소스와 독점 소프트웨어 양쪽에서 같은 방식이 통했다는 점이 핵심이다. 공격 면적이 넓고 코드가 방대한 대상일수록 모델의 탐색 속도가 사람보다 유리해지는 구조다.
실무 관점에서 읽을 지점은 방어 계층 하나하나가 독립적으로는 견고해도 연쇄 앞에서는 얇아진다는 사실이다. 샌드박스, 메모리 격리, 인증 절차, 하드코딩된 금지 검사가 각각 우회됐고, 그 우회는 대개 '원래 그렇게 동작하도록 만든 부분'에서 시작됐다. 패치 주기를 앞당기고 CVE 목록을 상시로 훑는 일이 여전히 기본이라는 점, 그리고 같은 방식의 분석을 자기 코드베이스에 먼저 돌려보는 것이 현실적인 대비가 된다는 점도 함께 남는다.
다만 전제는 분명하다. 사용된 모델은 외부에 공개되지 않은 내부 연구용이고, '초기 프롬프팅'이라는 표현이 보여주듯 사람의 유도가 선행됐다. 공개된 내용은 벤더의 조치와 조정된 공개 일정이라는 틀 안에 놓여 있으며, 사파리 사례에서 확인되듯 단독으로는 취약점이 아닌 동작들이 조합될 때 위력이 커진다는 성질도 감안해 읽어야 한다.