공개 가중치 모델 GLM 5.3이 파이어폭스의 패치 공백을 실제 공격에 써먹었다

보안 수정 내역이 공개됐지만 아직 사용자 손에 들어가지 않은 그 짧은 틈을, 이제는 누구나 내려받을 수 있는 오픈 웨이트 모델이 파고든다. Epoch AI가 공개한 실험에 따르면 Z.ai가 2026년 8월에 내놓은 GLM 5.3은 파이어폭스의 최신 배포판에서 취약점을 찾아내고 이를 실제로 악용하는 데까지 성공했다.

공격 방식은 사용자의 행동을 거의 요구하지 않는다. GLM 5.3이 만든 웹페이지를 파이어폭스 사용자가 방문하기만 하면, 방문자 컴퓨터의 파일을 읽어 공격자에게 전송하는 익스플로잇이 완성되는 구조다. 실험에서는 9월 17일부터 10월 26일 사이에 배포된 파이어폭스 버전이 모두 이 방법으로 뚫렸고, 각 버전을 공략하는 데 든 비용은 약 1000달러 수준이었다.

주목할 부분은 패치 공백만으로 끝나지 않았다는 점이다. 최근 파이어폭스 버전을 무력화한 모든 사례에서 GLM 5.3은 아직 세상에 알려지지 않은 취약점까지 스스로 찾아내 조합했다. 연구진은 이를 Mozilla에 알렸고, Mozilla는 2026년 10월 27일 파이어폭스 159.0을 배포해 해당 미공개 취약점을 막았다.

패치 공백 자체는 새로운 개념이 아니다. 수정 사항이 공개되는 시점과 일반 배포 시점이 어긋나는 곳, 그리고 업데이트가 나온 뒤에도 사용자가 구버전을 계속 쓰는 곳, 이 두 지점에서 늘 발생한다. 베타 빌드와 나이틀리 브랜치는 개발자가 테스트를 위해 미리 코드를 노출하는 대표적인 통로다. 소스 전체가 공개된 오픈소스 프로젝트는 여기에 더 취약하다. 모델이 정식 출시 전의 보안 관련 변경 내용을 미리 읽을 수 있는 프로젝트라면, 클로즈드소스 진영도 같은 위험에서 자유롭지 않다는 것이 연구진의 판단이다.

배경에는 최근 몇 달 사이의 AI 사이버 능력 향상이 있다. 2026년 4월 Anthropic이 Claude Mythos Preview를 공개하면서 프런티어 모델이 실제 프로덕션 소프트웨어에서 취약점을 찾아내고 복잡한 익스플로잇을 구성할 수 있다는 사실이 분명해졌다. 이에 주요 연구소들은 Glasswing, Daybreak 같은 프로젝트로 방어자에게만 고급 기능을 먼저 열어주고 일반 접근은 강하게 제한하는 쪽을 택했다. 문제는 그 제한이 오픈 웨이트 모델에는 적용되지 않는다는 것이다.

실험 환경은 일부러 허술하게 설계됐다. 기술 경험이 많지 않고 자원도 한정된 공격자가 흉내 낼 수 있는 수준을 목표로 삼아, 모델에 인터넷 접근 권한을 주지 않고 대상 버전 출시 시점에 공개돼 있던 정보만 직접 제공했다. 도구도 기본적인 것만 쥐여줬다. 그럼에도 GLM 5.3은 1차·3차 API 어느 쪽을 쓰든 안전장치에 걸리지 않았고, 어떤 제공자도 요청을 거부하지 않았다. 작업을 보안 실습으로 포장했다는 점을 빼면 실제 공격자의 행동과 구분되지 않았다.

개발자 입장에서 달라지는 것은 릴리스 파이프라인의 속도와 정보 노출 관리다. 수정 커밋을 일반 개선 사항처럼 섞어 난독화하는 기존 완화책은 GLM 5.3에게 통하지 않았다. 모델은 코드를 읽고 어느 변경이 보안 패치인지 스스로 가려냈다. 파이어폭스의 활성 사용자가 2억 명을 넘는다는 점을 감안하면, 브라우저에 저장된 비밀번호나 인증 쿠키가 노출되는 시나리오는 현실적인 위협이다. 결국 수정에서 배포까지의 간격을 줄이고, 자동 업데이트가 실제로 얼마나 빨리 퍼지는지를 지표로 관리해야 한다는 뜻이 된다.

한계도 분명하다. 같은 방식의 구글 크롬 공격은 글을 쓰는 시점까지 성공하지 못했다. 다만 연구진은 더 정교한 프롬프트나 더 강한 오픈 웨이트 모델(최근 공개된 Kimi K3.1 Pro 포함)로도 불가능하다는 근거로 받아들이지는 말라고 선을 그었다. 또 이번 연구는 공격 능력에 초점을 맞춘 것이지, 오픈 웨이트 모델이 공방 균형에 어떤 영향을 줄지에 대해 주장하지는 않는다. 같은 개방성이 방어자에게 취약점 사전 탐지와 사고 대응 수단을 준다는 점도 함께 짚어둘 필요가 있다.