구글, AI로 크롬 149·150 보안 버그 1,072건 수정…보안 업데이트 주 2회 시험

구글 크롬 보안팀 공식 발표에 따르면 회사는 대규모언어모델을 취약점 탐지부터 분류, 수정, 테스트에 이르는 보안 버그 처리 전반에 적용하고 있다. 그 결과 최근 두 마일스톤인 크롬 149와 150에서 보안 버그 1,072건을 수정했다. 이는 앞선 23개 마일스톤에서 수정한 보안 버그를 모두 합친 것보다 많은 수치다.

구글은 2026년 초 Gemini를 활용해 크롬 코드베이스 전반을 검사하는 에이전트 실행 환경을 구축했다. 이 과정에서 렌더러가 침해됐을 때 브라우저가 로컬 파일을 읽도록 유도할 수 있는 샌드박스 탈출 결함을 찾아냈다. 해당 결함은 코드에 13년 넘게 남아 있었다고 회사는 설명했다.

탐지 체계에는 공개 가중치 모델과 독점 모델을 함께 활용하는 상호운용 구조가 적용됐다. 과거 CVE와 크롬 전체 Git 기록을 지식 기반으로 제공하고, SECURITY.md 문서로 구성 요소의 신뢰 경계와 위협 모델을 이해하도록 했다. 별도 컨텍스트에서 결과를 검토하는 비평 에이전트도 배치했다.

취약점 분류 단계도 자동화됐다. 시스템은 스팸과 중복 보고를 걸러낸 뒤 재현 가능성을 확인하고, 스택 추적과 결함이 처음 들어온 시점, 심각도 같은 정보를 보강한다. 이어 담당 구성 요소와 개발자에게 문제를 자동 배정한다. 구글은 이 과정이 매달 수백 시간의 개발자 작업을 줄이는 것으로 추정했다.

수정 단계에서는 하나의 에이전트가 여러 후보 패치를 만들고 다른 에이전트가 적합성을 평가한다. 수정과 검토를 반복하는 방식으로 코드의 기능과 스타일을 확인하며, 테스트 작성 에이전트는 크롬이 지원하는 여러 플랫폼과 설정에서 패치 검증을 돕는다. 구글은 현재 대부분의 취약점에 대해 LLM이 후보 수정을 생성하고 있다고 밝혔다.

Google DeepMind와 Project Zero가 개발한 Big Sleep과 CodeMender도 크롬의 지속적 통합 시스템에 들어갔다. 이 도구들은 모든 변경 목록을 대상으로 24시간마다 실행된다. 구글에 따르면 지난 5월에만 치명적 S1+ 문제를 포함한 취약점 20건 이상이 실제 배포에 들어가기 전에 차단됐다.

구글은 코드 저장소에 공개된 수정 내용을 공격자가 역분석하는 이른바 패치 공백도 줄이려 하고 있다. 크롬은 주요 마일스톤을 2주 간격으로 내놓고 보안 업데이트는 매주 제공하는 체계로 전환 중이다. 회사는 여기에 더해 보안 릴리스를 주 2회 배포하는 방안을 시험하고 있다고 밝혔다.

브라우저 재시작 없이 렌더러와 GPU 같은 하위 프로세스를 새 바이너리로 교체하는 동적 패치 기술도 연구 중이다. 크롬 150의 macOS 버전에는 창이 모두 닫힌 상태에서 대기 중인 업데이트가 있으면 브라우저를 자동 재시작하는 기능이 도입됐다. 취약점 탐지 속도가 빨라진 만큼 수정된 코드를 사용자 기기에 전달하는 과정까지 단축하려는 조치다.

출처: Google Security Blog https://blog.google/security/chrome-stronger-with-every-update/