구글, 취약점 탐지부터 패치까지 다 하는 ‘제미나이 4 카본’ 공개

구글이 소프트웨어 취약점 탐지부터 실제 악용 가능성 검증, 보안 패치까지 수행하는 차세대 인공지능(AI) 모델 ‘제미나이 4 카본(Gemini 4 Carbon)’을 공개했다. AI를 활용한 사이버공격이 고도화되는 가운데 취약점을 발견하고 대응하는 방어 역량도 강화하겠다는 구상이다. 다만 공격에 악용될 수 있는 능력도 갖춘 만큼 초기에는 신뢰할 수 있는 보안 전문가를 중심으로 제한적으로 제공한다.

구글은 28일(현지시간) 공식 블로그를 통해 제미나이 4 카본을 발표했다. 이 모델은 앞서 공개한 제미나이 4 아르곤(Argon)의 후속 모델로, 복잡한 소프트웨어 개발 작업과 장시간에 걸친 AI 에이전트 업무 수행에 특화됐다. 특히 사이버보안 분야에서 취약점 발견과 검증, 수정에 이르는 전 과정을 지원하도록 성능을 높였다.

구글이 공개한 외부 벤치마크 평가 결과에 따르면, 제미나이 4 카본은 실제 소프트웨어의 취약점을 탐지하는 ‘SEC-bench Pro’에서 88.2%를 기록했다. 발견된 취약점의 악용 가능성을 검증하는 ‘ExploitGym’에서는 54.8%, 취약점의 근본 원인을 수정하는 ‘CWE-bench’에서는 71.0%를 기록했다.

특히 취약점 악용 가능성 검증 능력은 보안 담당자가 어떤 취약점부터 수정할지 판단하는 데 활용될 수 있다. 단순히 취약점이 존재한다는 사실을 찾아내는 데 그치지 않고, 실제 공격으로 이어질 수 있는지 확인해 대응 우선순위를 정할 수 있다는 의미다.

구글은 내부 평가에서도 보안 성능이 향상됐다고 설명했다. 보안성이 높은 코드를 생성하는 과제에서 이전 모델인 아르곤보다 성공률이 두 배 이상 높았으며, 구글 크롬 개발팀의 평가에서는 다른 AI 개발사의 대형 모델보다 고품질 패치 생성 성능이 10배 이상 높게 나타났다는 설명이다.

AI 에이전트의 안전성도 개선했다. 구글에 따르면 외부 문서 등에 숨겨진 악성 지시문으로 모델의 행동을 조종하는 간접 프롬프트 인젝션 평가에서 공격 성공률이 0%를 기록했다. 이전 모델인 아르곤의 0.7%보다 낮아진 수치다.

또 소프트웨어 개발 과제에서 허용되지 않은 편법을 사용해 평가를 통과하는 비율도 0%로 낮췄다. 내부 코딩 환경에서는 심각도가 높은 AI 행동 불일치 경고가 약 80% 감소했다.

다만 이 같은 결과는 특정 평가환경에서 측정한 수치다. 특히 취약점 탐지와 악용 가능성 검증 등 사이버보안 성능 평가는 안전장치를 적용하지 않은 상태에서 진행됐다. 프롬프트 인젝션 공격 성공률 0% 역시 모든 실제 공격을 방어할 수 있다는 의미는 아니다.

구글은 강력한 사이버보안 역량이 공격 목적으로 악용될 가능성을 고려해 단계적으로 모델을 공개할 계획이다. 이번 주부터 일부 보안 담당자에게 우선 접근 권한을 제공하고, 보안 전문가와 정부기관 등을 대상으로 운영하는 ‘페어윈드(Fairwind)’ 프로그램을 통해 신뢰할 수 있는 협력사로 제공 범위를 확대한다.

또 미국 정부의 자발적인 사전 모델 평가 절차에 참여하고 있으며, 초기 사용자들의 의견을 반영해 안전장치를 개선한 뒤 일반 개발자와 기업, 소비자에게 제공할 방침이다.

구글은 “제미나이 4 카본을 통해 소프트웨어 엔지니어링과 사이버보안 방어에서 의미 있는 발전을 이루는 동시에 안전성과 신뢰성을 확보하는 것이 목표”라고 밝혔다.

글. 바이라인네트워크
<곽중희 기자>god8889@byline.network