도입 문의
AI 보안

AI가 6일 만에 만든 Chrome 풀체인 – 패치 속도가 방어선이다

·

무슨 일이 있었나

자율형 오펜시브 보안 기업 XBOW는 2026년 10월 13일(미국 현지) Chrome 풀체인 공격 코드를 만든 경위를 공식 블로그에 공개했습니다. 국내에서는 디지털데일리가 10월 14일 이 소식을 전했습니다.

풀체인(Full chain)은 여러 취약점을 이어 붙여 브라우저의 보호 계층을 모두 넘는 공격입니다. 이번 체인은 웹 페이지 하나에서 시작해 Windows 단말의 샌드박스 밖에서 임의 프로그램을 실행했습니다. 사용자가 파일을 내려받거나 링크를 누를 필요 없이 페이지를 여는 것으로 충분했다는 점이 핵심입니다.

항목내용
발표2026년 10월 13일 (미국 현지), XBOW
제작 기간2026년 8월 2일 ~ 8월 7일, 6일
참여XBOW 연구원 1명 + OpenAI 공개 모델로 동작하는 AI 에이전트
비용약 4만 달러 (XBOW가 사용 기록으로 추산한 API 비용)
보상Google Chrome 취약점 보상 프로그램(VRP) 풀체인 보상 25만 달러
대상Windows용 Chrome. XBOW는 영향 사용자를 약 10억 명으로 추산
현재 상태세 결함 모두 수정. 실제 공격에 쓰인 사례는 보고되지 않음

XBOW에 따르면 이번 보상은 Google이 2026년 4월 바꾼 VRP 규정에서 처음 나온 Chrome 풀체인 보상입니다. The Hacker News는 25만 달러가 Chrome VRP가 단일 보고에 주는 최고액이라고 전했습니다.

체인을 이룬 세 결함과 수정 버전

Chrome은 웹 페이지의 코드를 JavaScript 엔진 내부의 V8 샌드박스와 운영체제가 권한을 제한하는 렌더러 샌드박스, 두 겹으로 가둡니다. 이번 체인은 서로 다른 구성 요소의 결함 세 개로 두 경계를 모두 넘었습니다.

단계구성 요소식별자분류수정 버전 (Windows)
1V8 (JavaScript 엔진)CVE-2026-85045High, 샌드박스 안 코드 실행 (CVE 설명)152.0.7977.82/.83 (9월 3일)
2애니메이션 WebP 이미지 디코더CVE 미부여 (Chromium issue 548509153)V8 샌드박스 경계 우회 (XBOW 설명)공지에 별도 기재 없음
3Crashpad (Chrome 오류 처리기)CVE-2026-78952High, 샌드박스 밖 코드 실행 (Windows, CVE 설명)152.0.7977.64/.65 (8월 25일)

출처를 읽을 때 주의할 점이 두 가지 있습니다.

  • CVE 번호 표기 차이: XBOW 발표문과 이를 인용한 일부 보도는 CVE-2026-85045를 WebP 단계로 표기했습니다. Google의 9월 3일 공지와 CVE 공식 기록은 이 번호를 V8 결함에 붙였으므로, 점검 기준은 공식 기록을 따르는 편이 정확합니다
  • 실제 악용 여부의 출처: 두 수정 공지 모두 XBOW 보고 건에 실제 악용 문구가 없습니다. 실제 악용이 없었다는 설명은 XBOW와 보도를 근거로 합니다

무엇이 달라졌나 – 시간과 비용

이번 사례가 주목받는 이유는 결함 자체보다 속도입니다. XBOW 연구원은 AI 이전에는 4명이 약 6~9개월 걸리던 Chrome 풀체인 제작이, 회사의 첫 시도에서는 2개월, 보상을 받은 이번 체인에서는 6일로 줄었다고 밝혔습니다. 사용한 모델은 보안 전용 모델이 아니라 누구나 쓸 수 있는 공개 모델이었습니다.

XBOW도 한계를 분명히 했습니다. 목표 선정, 맥락 제공, 결과 검증, 구성 요소 결정은 사람이 맡았고, 같은 비용과 시간이면 누구나 풀체인을 만들 수 있다는 뜻은 아니라고 설명했습니다. 그러나 문턱이 크게 낮아졌다는 결론은 같습니다. XBOW는 1년 안에 에이전트가 세 결함을 각각 스스로 찾을 수 있을 것으로 내다봤습니다.

관점변화기업에 주는 의미
공격 코드 제작수개월 단위에서 수일 단위로 단축 (XBOW 사례 기준)수정 공개 후 공격 코드가 나오기까지의 시간이 짧아질 수 있음
필요한 인력전문 팀에서 소수 연구원 + AI 에이전트로고급 공격 역량이 더 많은 주체로 퍼질 수 있음
결함 충돌같은 결함을 여러 주체가 동시에 찾음비공개 결함이 오래 비밀로 남는다는 가정이 약해짐
방어 측같은 도구로 자기 코드를 먼저 점검 가능공급사의 사전 점검과 수정 반영 속도가 차별 요소가 됨

Chrome 155 보안 업데이트에서도 AI의 도움으로 보고된 취약점이 여러 건 있었습니다. 취약점을 찾는 속도가 빨라질수록, 수정을 단말까지 얼마나 빨리 반영하느냐가 기업 보안의 변수가 됩니다.

기업 관점 – 클릭하지 않아도 되는 공격

“수상한 링크를 누르지 말라”는 교육만으로는 이번 유형의 공격을 충분히 막지 못합니다. 페이지를 여는 것만으로 공격이 시작되므로, 광고 네트워크나 침해된 정상 사이트를 거쳐서도 공격 페이지가 노출될 수 있습니다. 샌드박스 밖에서 사용자 권한으로 코드가 실행되면 악성코드 설치, 계정 정보 탈취, 내부망 이동으로 이어질 수 있습니다.

업무 사이트만 쓰는 사용자도 예외가 아닙니다. 브라우저 하나로 업무 시스템과 외부 웹을 함께 쓰는 환경에서는 외부 페이지 한 번의 노출이 업무 단말 전체의 위험이 됩니다.

기업이 지금 확인할 것

점검 항목기준방법
Chrome 버전최소 152.0.7977.82 (Windows · Mac 은 .83 포함). 실무 기준은 최신 Stable자산관리 도구 또는 chrome://version
재시작 미완료 단말업데이트 후 재시작까지 완료RelaunchNotification · RelaunchNotificationPeriod 정책으로 재시작 기한 지정
다른 Chromium 기반 브라우저제조사의 해당 수정 반영 빌드제조사 보안 공지와 버전 정보 확인
Chromium 내장 업무 앱Electron 등으로 만든 업무 앱의 Chromium 버전공급사 업데이트 일정 확인
신뢰도 낮은 외부 사이트JavaScript JIT 제한 검토DefaultJavaScriptJitSetting · JavaScriptJitBlockedForSites 정책. 성능 저하와 WebAssembly 제한이 생길 수 있으므로 시범 적용 후 확대
단말 이상 행위 탐지브라우저 프로세스의 비정상 하위 프로세스 실행EDR 탐지 규칙과 보안관제 경보 점검

JIT 제한은 Google이 브라우저를 더 안전한 구성으로 실행하는 선택지로 제공하는 정책이지만, 특정 결함을 막는다고 보장하는 조치는 아닙니다. 확정 조치는 업데이트입니다.

브라우젠 관점 – 엔진 결함은 엔진 수정으로, 데이터는 정책으로

브라우젠(BrowZen)은 Chromium 기반 업무용 브라우저입니다. Chromium 엔진의 결함은 같은 코드를 쓰는 브라우저 모두의 과제이며, 브라우젠은 다음 원칙으로 대응합니다.

단계내용
확인Google 보안 공지를 매일 확인하고, 수정 항목별로 브라우젠 반영 여부를 확인합니다
반영반영이 필요한 수정은 반영 빌드를 준비해 고객사 관리자에게 안내합니다
공개반영 빌드 배포 전에는 세부 영향 정보를 공개하지 않습니다

보안 브라우저가 엔진 취약점을 없애 주지는 않습니다. 방어는 계층별로 역할을 나눠야 하며, 보안 브라우저가 맡는 몫은 아래와 같습니다.

방어 계층이번 유형의 공격에 대한 역할담당
브라우저 엔진 보안 수정결함 자체를 없애는 확정 조치브라우저 공급사 · 기업 패치 관리
운영체제 보안 기능공격 비용을 높이지만 단독으로는 막지 못함운영체제 · 단말 관리
EDR · 보안관제단말이 장악된 뒤의 이상 프로세스와 행위 탐지보안관제
브라우저 내 업무 정책정상 업무 중 붙여넣기 · 업로드 · 캡처로 데이터가 나가는 경로 통제. 단말이 장악된 뒤에는 효과가 제한됨보안 브라우저

그래서 기업용 브라우저를 고를 때는 기능 목록만큼 엔진 보안 수정의 반영 기준과 이력을 보아야 합니다. 도입을 검토한다면 공급사에 Chromium 보안 수정의 반영 기준, 반영 이력, 고객 안내 방식을 요구하십시오. 업무용 브라우저를 표준화하면 버전과 재시작을 관리할 대상도 줄어듭니다.

마치며

이번 사례가 보여 준 것은 Chrome이 약하다는 사실이 아닙니다. 세계에서 가장 단단하게 다듬어진 소프트웨어 가운데 하나도, AI의 도움을 받은 소수 인력이 앞선 준비를 바탕으로 며칠 만에 끝까지 뚫을 수 있게 됐다는 사실입니다. 공격 코드를 만드는 시간이 줄어든 만큼, 방어는 수정을 단말까지 반영하는 시간을 줄이는 쪽으로 움직여야 합니다.

브라우젠의 기능과 구축 환경은 BrowZen 제품 페이지에서, 보안 브라우저의 기본 개념은 보안 브라우저(SEB)란 무엇인가에서 확인하실 수 있습니다.

참고 자료

공식 공지와 기록

발표와 보도

자주 묻는 질문

이번 Chrome 풀체인은 실제 공격에 악용됐나요?

XBOW와 보도에 따르면 실제 공격에 쓰인 사례는 확인되지 않았고, 세 결함 모두 수정됐습니다. 다만 9월 3일 같은 보안 업데이트에 들어 있던 다른 V8 취약점 CVE-2026-85046은 Google이 실제 악용을 확인했고 미국 CISA의 실제 악용 취약점 목록(KEV)에도 등재됐습니다. 이 업데이트를 미룬 단말은 두 위험에 함께 노출됩니다.

Edge나 Whale 같은 다른 Chromium 기반 브라우저도 확인해야 하나요?

확인해야 합니다. V8과 WebP 디코더 결함은 Chromium 공통 코드에 있고, Crashpad 결함은 Windows에 해당합니다. 각 제조사가 해당 수정을 반영한 빌드를 배포했는지 보안 공지와 버전 정보로 확인하고, Electron처럼 Chromium을 내장한 업무용 앱도 같은 점검 대상에 넣으십시오.

보안 브라우저를 쓰면 이런 공격을 막을 수 있나요?

브라우저 엔진의 결함을 없애는 확정 조치는 엔진 보안 수정이며, Chromium 기반 보안 브라우저도 같은 수정을 반영해야 합니다. 보안 브라우저의 역할은 수정 반영을 공급사가 책임지고 관리하는 것, 그리고 정상 업무 중 데이터가 브라우저 밖으로 나가는 경로를 정책으로 통제하는 것입니다. 단말이 장악된 뒤의 이상 행위는 EDR 같은 단말 보안 계층이 함께 맡아야 합니다.

함께 읽어보기