구글은 자사 웹 브라우저 “크롬”의 버그를 인공지능을 이용하여 발견하고 수정하는 시스템에 대해 설명하고 있습니다. 인공지능의 성능 향상에 따라 크롬의 버그 수정 건수가 급증하고 있다고 합니다.
강화된 업데이트: 인공지능 시대에 크롬과 웹을 더 안전하게 만들기 https://blog.google/security/chrome-stronger-with-every-update/
크롬의 버그 발견 및 수정은 “버그를 발견한다”, “버그를 우선순위로 설정한다”, “버그를 수정한다”, “수정된 크롬을 출시한다”, “사용자가 수정된 크롬을 설치한다”는 단계로 진행됩니다. 구글은 버그 발견부터 수정까지의 과정을 인공지능을 이용하여 고속화하고, 수정 내용을 사용자에게 적용하는 과정 또한 고속화에 힘쓰고 있습니다.
구글은 2023년부터 대규모 언어 모델(LLM)을 활용한 보안対策 시스템을 구축해 왔으며, 2024년에는 “나ptime(Naptime)”이라는 LLM 기반 취약점 발견 툴을 구축했습니다. 더 나아가 2024년에는 나ptime의 강화판인 빅 슬립(Big Sleep)을 개발했으며, 빅 슬립은 크롬(Chrome)에 탑재된 자바스크립트 엔진 “V8”의 취약점을 발견하는 데 성공했습니다. 2026년 초에는 젬마이(Gemini)를 사용하여 크롬(Chrome)의 취약점을 발견하기 위한 에이전트 하르(agent harness)를 구축하고, 코드 베이스에 13년간 잠복해 있던 “샌드박스를 탈출하여 크롬(Chrome)에 임의의 파일을 읽어들이는” 취약점을 발견하는 데 성공했습니다. 더불어 하르의 개선을 지속하며 “구글(Google) 제 모델과 오픈 모델의 강점을 활용하는 상호 운용성”, “개발자에게 SECURITY.md를 침투시키는 것”, “SECURITY.md를 처리하기 위한 비평가 에이전트의 구축”, “모델의 비결정성이나 개선에 대응하기 위해 여러 번에 걸쳐 탐지 흐름을 실행하는 메커니즘” 등을 도입했습니다.
취약점을 우선순위로 지정하는 데에도 AI를 활용하고 있습니다. 구체적으로 다음과 같은 작업을 수행하여, 우선순위 지정에 따라 인간 개발자의 작업 시간을 매달 수백 시간도 줄일 수 있었습니다.
* **노이즈 제거:** AI가 생성한 버그 보고서가 취약성을 명확하게 설명하고 있는지, 중복되지 않는지를 검증합니다.
* **버그 재현:** 개념 증명 코드를 작성하고, 영향을 받는 OS 및 크롬(Chrome) 버전에 테스트합니다.
* **보고서에 메타데이터 추가:** 취약성의 발생 시간, 심각도 평가 등 메타데이터를 보고서에 추가합니다.
* **자동 할당:** 적절한 담당자에게 작업을 할당합니다.
버그의 수정 코드는 또한 AI를 사용하여 생성합니다. “수정 에이전트”에서 여러 후보 코드를 생성하고, “비평가 에이전트”에서 최적의 코드를 선택하는 시스템을 구축하고 있습니다. 크롬(Chrome) 149와 크롬(Chrome) 150에서는 총 1072건의 취약점을 수정하는 데 성공했습니다. 다음 그래프는 크롬(Chrome) 버전별 취약성 수정 수를 보여줍니다.
수정된 Chrome을 출시한다. 수정된 Chrome은 가능한 한 빨리 전개되어야 한다. 이에 Google은 Chrome의 업데이트 간격을 기존의 4주에서 2주로 단축하는 것을 계획하고 있다. 또한, 보안 업데이트는 매주 출시할 계획이다.
사용자가 수정된 Chrome을 설치하는 Chrome은 재부팅 시 업데이트가 적용되지만, 사용자 중에는 브라우저를 장기간 띄워놓는 경우도 있다. Google은 Chrome을 재부팅하지 않고도 업데이트를 적용할 수 있는 메커니즘을 구축 중. 또한, 재부팅해도 세션을 계속에서 재개할 수 있도록 로컬에 저장하는 데이터량을 늘리는 시도를 진행하고 있다.
더욱이, macOS에서는 OS 고유의 문제에 대해 대응하고 있다. Windows에서는 창을 닫으면 애플리케이션을 종료한 것과 같지만, macOS에서는 “창을 닫는”과 “애플리케이션을 종료하는”이 서로 다른 동작으로 존재하여 사용자가 메뉴에서 종료를 선택하거나 “Command＋Q”의 단축키를 누를 때까지 Chrome이 종료되지 않는다. 따라서, macOS 버전의 Chrome150에서는 창을 닫은 단계에서 자동으로 재부팅하여 업데이트를 적용하도록 변경되었다.
Google는 버그 발견 및 수정뿐만 아니라 신속한 수정 전개가 AI 시대에 있어서 방어의 중요한 요소라는 점을 지적하고 있습니다.
원문 보기 | 출처: Gigazine