XBOW, AI로 크롬 취약점 3개 연결 공격망 개발…구글 포상금 25만 달러

보안 기업 XBOW가 공개된 OpenAI 모델을 활용해 크롬 취약점 3개를 연결한 공격망(익스플로잇 체인)을 개발했다고 밝혔다. 이에 대해 구글은 25만 달러의 포상금을 지급했으며, 관련 취약점은 모두 수정된 상태라고 dailysecu.com이 보도했다.

이번 공격은 자바스크립트 엔진 V8, WebP 애니메이션 이미지 처리, 충돌 보고 도구 Crashpad의 취약점을 연결한 것으로, 윈도우 환경에서 크롬 샌드박스 외부에서 원격 코드 실행이 가능한 전체 체인 공격을 구성한다. 공개 시연에서는 서명된 크롬 베타에서 웹페이지를 열자 윈도우 계산기가 실행됐다.

구글 공식 보안 권고문에 따르면 취약점은 V8의 경쟁 조건(CVE-2026-85045)과 Crashpad의 범위를 벗어난 메모리 쓰기(CVE-2026-78952)로, 둘 다 High 등급이며 XBOW의 브렌던 돌런-개빗이 발견자로 등재됐다.

이 취약점들은 9월 3일 출시된 크롬 152.0.7977.82와 8월 25일 출시된 크롬 152.0.7977.65에서 수정됐다.

AI 에이전트 활용과 개발 기간

XBOW는 OpenAI의 GPT-5.6 Sol 모델 기반 AI 에이전트를 사용해 소스 코드 탐색, 공격 가설 검증, 개념 증명(PoC) 및 익스플로잇 구성 요소 개발을 분담했다. 사람은 탐색 대상을 결정하고 필요한 맥락을 제공하며 결과를 검증하고 구성 요소를 연결하는 역할을 맡았다.

포상금을 받은 공격망의 집중 개발 기간은 8월 2일부터 7일까지 6일이었다. XBOW는 올해 초부터 크롬 공격망을 연구해 왔으며 첫 체인을 만드는 데 약 2개월이 걸렸다고 밝혔다. 6일 동안 AI API 사용료는 약 4만 달러였다.