인공지능은 단순한 약속에서 세계에서 가장 많이 사용되는 브라우저의 실질적인 보안 엔진으로 자리 잡았습니다. 구글은 6월 한 달 동안 다음과 같은 계획을 발표했습니다. 크롬은 버전 149와 150에서 1.072개의 보안 취약점을 수정했습니다.이 수치는 이전 23개 버전에서 적용된 패치 총 개수를 넘어섰습니다. 이러한 성과는 우연이 아닙니다. 회사는 이러한 도약을 제미니(Gemini) 기반의 AI 에이전트 시스템 덕분이라고 설명하며, 이 시스템이 취약점을 발견하고 분류하고 수정하는 방식을 혁신적으로 변화시켰다고 밝혔습니다.
크롬의 보안팀은 수년 동안 머신 러닝을 사용해 왔지만, 대규모 언어 모델(LLM)의 등장으로 더욱 강력한 보안 기능을 활용할 수 있게 되었습니다. 이전에는 수백 시간의 수작업이 필요했던 프로세스를 자동화합니다.구글 자체 데이터에 따르면 5월 한 달 동안에만 20건 이상의 취약점이 실제 서비스에 배포되는 것을 막았습니다. 이미 악용되고 있던 치명적인 결함이 소식은 여러 언론 매체에서 보도되었으며, 모두 인공지능이 산업 규모로 사이버 보안을 재정의하고 있다는 데 동의하고 있습니다.
교정 역사상 전례 없는 기록
숫자가 모든 것을 말해줍니다. 6월에 출시된 크롬 버전 149와 150에는 1.072개의 보안 수정 사항이 포함되어 있는 반면, 이전 23개 버전을 모두 합친 보안 수정 사항은 1.036개에 불과합니다. 이는 지난 2년 동안 수정된 것보다 한 달 만에 더 많은 수정이 이루어졌다는 것을 의미합니다.구글이 발표한 기술 보고서는 LLM(Learning Level Model)이 자동화된 취약점 발견에 있어 전례 없는 기능을 제공하며, 인간 전문가의 역량을 뛰어넘는 혁신을 이끌어내는 방식을 자세히 설명합니다. 구글은 이러한 접근 방식이 기존 방식을 대체하는 것이 아니라 보완하는 것이며, 훨씬 광범위한 소스 코드 분석 범위를 가능하게 한다고 강조합니다.
취약점 보상 프로그램(VRP) 또한 영향을 받았습니다. 2026년 3월까지 구글은 2025년 한 해 동안 접수된 보고 건수보다 더 많은 보고를 받게 되었고, 이에 따라 자동화 도구가 이미 탐지하는 내용과 차별화된 정보를 제공하는 발견에 우선순위를 두도록 프로그램 약관을 수정해야 했습니다. AI는 스팸을 필터링하고, 개념 증명을 복제하며, 심각도 수준을 지정합니다.개발자들이 매달 수백 시간의 작업 시간을 절약할 수 있도록 도와줍니다.
13년 된 결함을 찾아낸 AI 에이전트
새로운 시스템에서 가장 주목할 만한 발견 중 하나는 13년 넘게 크롬 코드에 숨겨져 있던 샌드박스 탈출 취약점이었습니다. CVE-2026-3545로 분류되고 CVSS 점수 9.8(심각)인 이 결함은 손상된 렌더러가 브라우저를 속여 컴퓨터의 로컬 파일을 읽도록 허용했을 것입니다. 2026년 초에 개발된 제미니 위성 기반 요원은 이를 탐지하는 임무를 맡았습니다. 인간 팀이 지속적으로 유지 관리할 수 없는 수준까지 크롬 소스 코드 전체를 분석함으로써 가능해졌습니다.
구글은 해당 시스템이 여러 전문 에이전트를 결합한 것이라고 설명합니다. 일부는 코드베이스를 스캔하여 의미 패턴을 찾고, 다른 일부는 취약점이 실제로 존재하는지 검증하며, 또 다른 일부는 후보 패치를 생성합니다. 변경 사항을 시행하기 전에 반드시 사람의 검토가 필요합니다.하지만 AI는 이러한 과정을 크게 가속화합니다. 크롬의 엔지니어링 책임자인 더그 터너는 LLM(Learning Leadership Model)이 사이버 보안의 경제성을 근본적으로 변화시켜 취약점 발견을 자동화된 산업 규모의 작업으로 전환시켰다고 밝혔습니다.
제미니 에이전트 시스템 작동 방식
구글의 시스템은 단일 모델이 아니라, 일련의 에이전트들이 사슬처럼 연결되어 작동하는 시스템입니다. 탐지 에이전트는 텍스트 패턴뿐 아니라 의미론적 코드 이해를 활용하여 크롬 코드에서 취약점을 나타낼 수 있는 패턴을 찾아냅니다. 검증 에이전트는 발견된 내용이 실제 취약점인지 아니면 오탐인지 확인합니다. 일단 확인되면, 고정제는 여러 개의 잠재적인 패치를 생성합니다.패치 평가 에이전트는 해당 패치를 크로뮴 프로젝트의 스타일 규칙 및 관례와 비교합니다.
이 전체 프로세스는 위험을 최소화하기 위해 일반 인터넷 액세스가 차단된 잠긴 시스템에 저장된 코드에서 실행됩니다. 또한 Google은 모든 빌드 단계에서 24시간마다 실행되는 지속적 통합(CI) 시스템에 AI 도구를 통합했습니다. 이를 통해 보안 결함이 실제 운영 환경에 도달하기 전에 사전에 감지할 수 있습니다.회사 측은 해당 모델이 처리된 대부분의 취약점에 대해 이미 해결 방안을 제시하고 있다고 주장하는데, 그 근거는 다음과 같습니다. 크롬은 4GB 크기의 AI 모델을 설치합니다. 로컬 작업을 최적화하기 위해.
패치 프로세스 자동화
AI는 결함을 찾아낼 뿐만 아니라, 탐지 및 패치 생성부터 보고서 분류 및 작업 할당에 이르기까지 취약점 수명 주기 전반에 참여합니다. 이 시스템은 스팸 및 중복 메일을 필터링하고, 개념 증명을 복제하고, 심각도 수준을 지정하고, 각 보고서를 담당 팀으로 전달합니다.구글은 이 과정 덕분에 개발자들이 매달 수백 시간의 작업 시간을 절약할 수 있다고 추산합니다.
패치가 준비되면 메인 저장소에서 크롬의 활성 안정 브랜치에 직접 통합되며, 새로운 버그 발생을 방지하기 위해 지속적으로 모니터링됩니다. 또한, 회사는 릴리스 노트와 CVE 설명 생성을 자동화하기 시작했습니다.수동 작업으로 인한 병목 현상을 제거합니다. 5월에 이 시스템은 심각한 취약점 1건을 포함하여 20건 이상의 취약점이 실제 운영 환경에 배포되는 것을 막았습니다.
더 빠른 업데이트 및 동적 패치
취약점을 발견하고 수정하는 것만으로는 사용자를 즉시 보호할 수 없습니다. 수정 사항이 오픈 소스 코드에 나타나면 공격자는 패치가 모든 시스템에 적용되기 전에 이를 연구할 수 있습니다. 이러한 노출 시간을 줄이기 위해, 구글 크롬은 업데이트 속도를 2주마다 변경합니다. 매주 보안 업데이트를 제공하며, 현재 주 2회 보안 업데이트를 배포하는 테스트를 진행 중입니다. 또한, 브라우저를 재시작하지 않고도 업데이트를 적용할 수 있는 동적 패치 시스템을 개발 중입니다..
Chrome 150 버전부터 macOS에서 백그라운드 실행 중이고 열려 있는 창이 없는 경우에도 브라우저가 자동으로 재시작되어 보류 중인 업데이트를 설치할 수 있게 되었습니다. 장기적인 목표는 동적 패치, 비활성 시간 동안의 자동 재시작, 그리고 열려 있는 탭이 손실되지 않도록 개선된 세션 복원 기능을 결합하여 Chrome을 지속적으로 최신 상태로 유지하는 것입니다. 구글은 또한 Rust와 같은 메모리 안전성이 높은 언어로 전환하고 있습니다. 보안 문제 유형 전체를 제거하기 위해.
해당 회사는 크롬 보안팀이 2023년부터 LLM을 사용하기 시작했으며, DeepMind 및 Project Zero와 협력하여 Big Sleep과 같은 도구를 개발했고, 2026년 초에는 탐지 방식을 혁신적으로 바꾼 Gemini 기반 에이전트를 개발했다고 확인했습니다. 이러한 추세는 구글에만 국한된 것이 아닙니다. 마이크로소프트 역시 AI 덕분에 6월에 무려 570건의 버그를 수정하며 역대 최다 기록을 세웠습니다.애플은 전년과 비슷한 수치를 유지하고 있지만, 이는 보안에 인공지능을 접목하는 것이 상당한 차이를 만들어낸다는 것을 시사합니다.
발견 속도가 매우 빨라 팀은 업계 평균보다 빠른 주 2회 보안 패치를 배포하기 시작했습니다. 구글은 자동화된 순위 지정이 매달 수백 시간의 업무 시간을 절약해 준다고 추정합니다.하지만 회사 측은 이러한 측정 방식이 정확하지 않다는 점을 인정합니다. 또한, AI가 생성한 패치는 개발자의 검토 및 최종 승인을 거쳐야 하며, 시스템이 자동으로 병합하지 않는다는 점에서 인간의 개입이 여전히 중요하다고 강조합니다.
13년 된 결함의 발견은 기존 방식으로는 놓칠 수 있는 문제를 인공지능이 찾아낼 수 있는 잠재력을 보여줍니다. 구글은 향후 오류를 방지하기 위해 인공지능을 계속 활용할 계획입니다.코드 제출 시점에 최대한 가깝게 취약점을 식별하고 제거하는 것이 중요합니다. 또한, 회사는 개별적으로는 안전하다고 여겨지는 코드에 영향을 미칠 수 있는 개발 트리 내의 문제들을 해결하여 취약점이 연쇄적으로 발생하는 것을 방지하는 전략을 사용하고 있습니다.
사용자에게 실질적인 권장 사항은 이전과 같습니다. Chrome은 업데이트를 자동으로 다운로드하지만 대부분의 업데이트를 적용하려면 브라우저를 다시 시작해야 합니다. 따라서 업데이트 알림에 주의를 기울이고 필요에 따라 브라우저를 닫았다가 다시 여는 것이 좋습니다. 인공지능 덕분에 크롬의 보안이 질적으로 향상되었습니다.하지만 공격자 역시 동일한 기술을 이용하여 취약점을 찾아낼 수 있는 생태계에서는 지속적인 경계가 필수적입니다.
