엑스보우, AI로 크롬 취약점 3개로 공격 체인 구현…구글서 25만달러 보상

엑스보우(XBOW·한국 총괄 이원래)는 인공지능(AI) 에이전트와 보안 연구원이 구글 크롬의 취약점 3개를 연결한 공격 체인을 구현해 구글 취약점 보상 프로그램에서 25만달러(약 3억 3575만원)를 받았다고 14일 밝혔다.

공격 체인은 여러 취약점을 차례로 이용해 개별 취약점만으로는 얻기 어려운 권한까지 확보하는 공격 방식이다. 이번 사례에서는 크롬의 자바스크립트 엔진인 V8과 움직이는 웹피(WebP) 이미지 디코더, 오류 처리 프로그램인 크래시패드의 취약점을 연결했다.

첫 번째 취약점으로 V8 엔진의 샌드박스 안에서 메모리를 조작했다. 이후 WebP 이미지 디코더의 문제를 이용해 엔진 샌드박스를 빠져나갔다. 마지막으로 브라우저 샌드박스 밖에서 작동하는 크래시패드의 취약점을 이용해 코드를 실행했다.

공격이 성립하면 사용자가 별도의 파일을 내려받거나 링크를 누르지 않아도 웹페이지를 여는 것만으로 크롬의 샌드박스 밖에서 프로그램을 실행할 수 있었다. 엑스보우는 패치 전 해당 취약점의 영향을 받을 수 있는 윈도우용 크롬 이용자를 약 10억명으로 추산했다.

엑스보우는 보안 연구원 1명과 AI 에이전트가 6일 동안 취약점을 분석하고 공격 코드를 만들었다고 설명했다. 오픈AI의 ‘GPT-5.6 솔(GPT-5.6 Sol)’ 모델을 사용했으며 컴퓨팅 비용은 약 4만달러였다고 밝혔다.

엑스보우는 발견한 취약점을 구글에 제보했다. 구글은 취약점을 재현해 확인한 뒤 수정 패치를 배포했다. 엑스보우에 따르면, 실제 크롬 이용자를 공격하는 데 악용된 사례는 확인되지 않았다.

우게 데 무어 엑스보우 창업자 겸 최고경영자는 “개별적으로 위험도가 낮아 보이는 취약점도 서로 연결하면 심각한 공격 경로가 될 수 있다”며 “방어하는 쪽도 여러 탐지 결과 가운데 실제로 악용할 수 있는 경로를 빠르게 찾아야 한다”고 말했다.

글. 바이라인네트워크
<곽중희 기자>god8889@byline.network