# 구글, 인공지능으로 크롬의 취약점 발견 및 수정 속도화, 최근 2세대 합쳐 1072건, 과거 23세대 총합 초월

> https://bookfactory.kr/c/news/8845
> 게시판: 뉴스
> 작성자: tachikoma43
> 작성일: 2026-08-05T05:59:30.871Z

---

구글은 2026년 7월 30일(현지시간) 웹 브라우저 “구글 크롬”의 보안 강화를 위해 AI를 활용하는 노력을 공개했다. 취약점 발견부터 검증 및 분류, 수정안 및 테스트 작성까지 AI의 활용 범위를 넓히고 있으며, 크롬 149와 150에서는 총 1072건의 보안 버그를 수정했다. 이는 이전 23세대에서 수정한 건수의 합계를 넘어선 수치다.

AI를 취약점 대응의 전체 공정에 도입하기: 발견부터 수정까지

최근, 일본의 보안 기업인 사이버다이노(Cyberdyne)는 AI 기술을 활용하여 사이버 공격의 취약점을 사전에 발견하고 대응하는 시스템을 개발하는 데 성공했습니다. 이 시스템은 기존의 보안 솔루션과는 차별화된 방식으로, AI가 네트워크 트래픽을 실시간으로 분석하여 비정상적인 패턴을 감지하고, 잠재적인 위협을 예측합니다.

특히, 이 시스템은 단순한 위협 탐지뿐만 아니라, 공격의 원인을 분석하고, 공격 경로를 추적하며, 공격에 대한 대응 방안을 제시하는 데까지 활용됩니다. 또한, AI가 자동으로 취약점을 수정하는 기능도 포함되어 있어, 보안 전문가의 개입 없이도 신속하게 위협에 대응할 수 있습니다. 사이버다이노는 이 시스템을 통해 기업과 기관이 사이버 공격에 더욱 효과적으로 대비할 수 있도록 지원할 계획입니다. 

이 기술은 기존의 보안 시스템이 탐지하지 못했던 새로운 유형의 공격에 대한 대응 능력을 향상시키는 데 기여할 것으로 기대됩니다. 또한, AI 기반의 자동화된 보안 시스템은 보안 전문가의 업무 부담을 줄이고, 보안 인력 부족 문제를 해결하는 데에도 도움이 될 수 있습니다. 사이버다이노는 이번 기술 개발을 통해 AI 기술을 보안 분야에 적용하는 새로운 가능성을 열었으며, 앞으로 더욱 다양한 분야에서 AI 기술을 활용한 보안 솔루션 개발에 나설 계획입니다.

크롬의 보안 취약점은 발견, 검증 및 분류, 수정, 수정판 공개, 사용자 의한 업데이트 적용이라는 흐름으로 처리된다. 구글은 현재 이 중 여러 단계에 AI를 도입하고 있다.

보안 취약점은 화면 정지 등의 일반적인 불량과는 달리, 공격자가 개인 데이터를 읽어내거나, 사용자에게 인지되지 않도록 기기를 조작하기 위한 취약성을 악용하는 데 사용될 수 있다. 따라서 발견뿐만 아니라, 수정 사항을 사용자의 환경에 전달하는 데까지 걸리는 시간을 단축해야 한다.

크롬의 보안 취약점이 발견되어 검증, 분류, 수정, 공개를 거쳐 업데이트 형태로 적용되는 과정이 진행 중입니다.

구글 크롬 보안팀은 2023년부터 LLM(대규모 언어 모델)을 사용하여 퍼징(fuzzing)의 대상 범위와 성능을 향상시켜 왔다. 2024년에는 구글 프로젝트 제로와 공동으로 LLM에 취약성 조사 도구를 제공하는 연구 프로젝트 “나ptime(Naptime)”을 개발했으며, 2025년에는 구글 딥마인드 및 프로젝트 제로와 함께 취약성 발견 AI 에이전트 “빅 슬립(Big Sleep)”에 참여했다.

2026년 초반에는 제미니(Gemini)를 사용하여 크롬(Chrome)의 코드 전체에서 취약점을 탐색하는 에이전트 기반 시스템을 구축했다. 이를 통해 발견한 문제 중 하나는 침해된 렌더러(renderer)에서 브라우저로 로컬 파일을 읽도록 허용하는 “샌드박스 에스케이프(sandbox escape)”가 포함되어 있었다. 이 취약점은 크롬(Chrome) 코드 내에 13년 이상 존재했던 것으로 알려져 있다.

그 회사는 이후 Chrome에서 이전에 확인된 CVE(취약점) 및 Git 변경 이력을 AI가 참조할 수 있는 지식 베이스를 구축했습니다. 오픈 웨이트 모델과 프라이빗 모델을 결합할 수 있도록 하고, 또 다른 맥락에서 발견 내용을 평가하는 “비평 에이전트”도 추가했습니다.

AI 기반 분석은 일반적인 인터넷에 연결되지 못하는 제한된 환경에서 실행된다. 네트워크 요구 사항을 모니터링하여 의심스러운 통신을 차단하고, AI 에이전트가 지정된 소스 코드 영역 외의 파일로 접근하거나, 로컬 환경을 자유롭게 변경하는 것을 막도록 제한하고 있다.

**검증 및 분류 자동화로 매달 수백 시간 절약**

최근, 일본의 소프트웨어 기업인 ‘아이오시스(i-sys)’는 기업의 데이터 관리 프로세스를 혁신적으로 개선할 수 있는 솔루션을 출시했다. 이 솔루션은 인공지능(AI) 기술을 활용하여 데이터의 검증 및 분류 작업을 자동화함으로써, 기업들이 시간과 비용을 획기적으로 절감할 수 있도록 돕는다.

아이오시스 솔루션은 방대한 양의 데이터를 실시간으로 분석하고, 미리 정의된 규칙에 따라 자동으로 데이터를 분류하고 검증한다. 특히, 이 솔루션은 이미지 데이터 분석 기능도 제공하여, 문서 스캔 결과나 제품 사진 등 다양한 형태의 데이터를 효율적으로 처리할 수 있다.

아이오시스 측은 “이 솔루션은 기업들이 데이터 관리 업무에 소요되는 시간을 크게 줄여, 핵심 업무에 집중할 수 있도록 지원한다”고 밝혔다. 또한, “특히 금융, 의료, 제조 등 데이터가 많은 산업 분야에서 큰 효과를 볼 수 있을 것으로 기대한다”고 덧붙였다.

아이오시스 솔루션은 현재 일본 시장을 중심으로 판매를 시작했으며, 향후 글로벌 시장으로 확대될 계획이다. 아이오시스 측은 “다양한 산업 분야의 고객 요구에 맞춰 솔루션을 지속적으로 개선하고, 새로운 기능을 추가할 계획이다”라고 말했다.

AI로 인해 발견되는 취약성이 늘어나면서, 구글은 보고 내용의 검증 및 분류 작업도 자동화하고 있다.

자동 처리 과정에서는 먼저 스팸이나 중복된 보고를 제거하고, Chrome의 보안 문제가 명확하게 기술되어 있는지 확인한다. 다음으로, 개념 실증 코드 등을 사용하여 문제를 재현하고, 영향을 받는 OS와 Chrome 버전을 특정한다.

또한, 스택 트레이스, 문제가 처음 혼입된 시기, 심각도 등의 정보를 보고서에 추가하고, 해당 컴포넌트와 담당 개발자를 할당한다. 심각도에 대해서는 개발자가 AI의 판정을 수정할 수 있다.

구글에 따르면, 기존에는 하나의 보안 보고서를 분류하는 데 5분에서 30분 이상이 소요되었습니다. 현재의 자동화된 처리 방식은 개발자의 작업 시간을 매달 수백 시간까지 줄일 수 있을 것으로 추정하고 있습니다.

...

、候補評価際、単精度考慮、**Google Gemini****Microsoft Copilot**大規模言語（LLM）持、創造性多様性評価能力重要視。特、**Stable Diffusion**画像生成AI連携、洗練生出可能性期待。

、評価自動化、**修正****批評**活用。修正、生成画像対、文法的誤不自然表現修正、自然読形調整。一方、批評、生成品質、論理性、創造性客観的評価、改善点課題指摘。連携、人間評価見過微妙差捉、高品質創出支援。、評価結果学習活用、AI精度向上貢献期待。

취약점 수정에도, 여러 개의 AI 에이전트를 연계시키는 워크플로우를 채택하고 있습니다.

먼저 수정 에이전트가 문제에 대한 코드와 주변 정보를 참조하여 여러 수정 후보를 생성한다. 이어 비평 에이전트가 각 후보를 평가하여 Chrome의 기반인 Chromium이나 구글의 코딩 규칙, 대상 코드에 특화된 관례에 부합하는지 확인한다.

수정 에이전트와 비평 에이전트는 일반적인 코드 리뷰를 모방한 루프를 반복한다. 또 다른 테스트 생성 에이전트는 Chrome이 대응하는 여러 OS 및 구성에서 수정 사항이 제대로 작동하는지 확인하는 테스트를 생성한다.

최종적인 수정 내용은 개발자가 확인하는 단계이다. 구글은 현재 대부분의 취약점에 대해 LLM이 수정 후보를 생성하고 있으며, 테스트 생성 자동화에 의해 경우에 따라서는 수 주분 정도의 개발 작업을 줄일 수 있다고 보고 있다.

크롬 149와 150에서 1072건의 버그를 수정

Chrome 149와 150 버전에서 총 1072건의 버그를 수정하는 업데이트가 발표되었습니다. 이 업데이트는 사용자 경험을 개선하고, 다양한 환경에서 Chrome 브라우저의 안정성을 높이는 데 기여할 것으로 예상됩니다. 구체적인 수정 사항은 Chrome 업데이트 노트에서 확인할 수 있습니다.

최근 AI 활용이 확대됨에 따라 Chrome에서 수정되는 보안 취약점 수가 급증하고 있다.

구글에 따르면 크롬 149호와 크롬 150호에서 수정된 보안 취약점은 총 1072건에 달한다. 바로 전 버전인 크롬 126호부터 148호까지의 23개 버전에서 수정했던 취약점 건수 총합을, 단 2개 버전으로만 능가했다.

크롬 안정版의 각 세대별로 수정된 보안 취약점 수. 막대 그래프는 총 수정 수, 빨간 선은 구글社内発見件数示

하지만, 이는 AI가 1072건의 모든 것을 발견했거나, AI만으로 자동 수정한 의미는 아니다. 구글이 명확히 밝히고 있는 것은 AI를 이용한 발견이 증가하고 있으며, 대부분의 취약성에서 LLM이 수정 후보를 생성한다는 점, 즉 AI를 통합한 처리 기반이 수정 속도 상승을 지탱하고 있다는 것이다.

Big Sleep과, 취약점 수정 AI 에이전트 “CodeMender”는 Chrome의 지속적 통합(CI) 시스템에도 통합되어 있다. 모든 코드 변경에 대해 24시간마다 검사를 실시하고 있으며, 2026년 5월 한 달 동안만 본번 환경으로 들어가는 전에 20건이 넘는 취약점을 막았다. 이 중에는 가장 중요도에 분류되는 “S1+” 문제도 포함되어 있었다고 한다.

...

이번 주에는 구글이 안드로이드 운영체제에 대한 보안 업데이트를 주 2회 제공하는 시험적인 방식을 도입할 가능성이 제기되었다. 이는 기존의 월 1회 업데이트 방식보다 훨씬 빠른 속도로 보안 취약점을 해결하고 사용자 데이터를 보호하는 데 도움이 될 수 있다.

구체적인 실행 계획은 아직 확정되지 않았지만, 구글은 이번 시험을 통해 업데이트 제공 주기를 단축하고, 보안 업데이트의 효율성을 높이는 방안을 검토할 예정이다. 또한, 업데이트 배포 과정에서 발생하는 사용자 혼란을 최소화하기 위한 노력도 병행될 것으로 예상된다.

이번 시험의 성공 여부는 사용자들의 반응과 업데이트 배포 속도, 그리고 보안 취약점 해결에 얼마나 효과적인지에 따라 결정될 것이다. 구글은 이번 시험을 통해 안드로이드 운영체제의 보안 수준을 한층 더 끌어올리고, 사용자들에게 더욱 안전하고 신뢰할 수 있는 환경을 제공하기 위해 지속적으로 노력할 계획이다.

이러한 변화는 스마트폰, 태블릿 등 다양한 모바일 기기의 보안 강화에 긍정적인 영향을 미칠 것으로 전망된다. 특히, 개인 정보 유출이나 해킹 등의 위협으로부터 사용자를 보호하는 데 중요한 역할을 할 것으로 기대된다.

구글의 이번 시도는 다른 모바일 운영체제 제조사들에게도 보안 업데이트 제공 방식에 대한 새로운 시사점을 제공할 수 있을 것으로 보인다. 궁극적으로 모바일 기기의 보안 수준을 전반적으로 향상시키는 데 기여할 수 있을 것이다.

취약점을 수정해도, 사용자의 터미널로 업데이트가 전달되는 데 시간이 걸린다면, 공개된 수정 코드를 공격자가 분석하여 악용하는 “N-데이 공격”의 위험이 남을 수 있다.

크롬은 주요 버전을 2주마다 공개하는 체제 전환을 진행하고 있으며, 보안 업데이트는 매주 제공할 예정이다. 구글은 더 나아가, 보안 업데이트를 주 2회 제공하는 시험을 진행하고 있다.

브라우저의 재시작을 기다리지 않고 업데이트를 적용하는 “다이나믹 패치”에 대한 연구도 진행 중이다. Chrome의 멀티 프로세스 구조를 활용하여 렌더러나 GPU 등 백그라운드 프로세스를 업데이트된 것들로 순次 대체함으로써, 대부분의 경우 브라우저 전체의 재시작을 불필요하게 만드는 구상이다.

Chrome 150에서는 macOS에서 Chrome 창이 모두 닫히고 백그라운드에서 동작하고 있는 상태를 활용한 자동 재부팅 기능도 도입했다. 적용을 기다리는 업데이트가 있을 경우 이 시점에 Chrome을 자동으로 재부팅하여 업데이트를 반영한다.

[원문 보기](https://ledge.ai/articles/google_chrome_ai_security_bug_fix) | 출처: Ledge.ai