AI가 찾아낸 브라우저·OS 취약점과 기업의 대응 기준

연구용 모델이 완성한 다섯 개의 공격 체인

Anthropic이 2026년 10월 27일 Discovering and exploiting vulnerabilities in critical, real-world software with Claude를 공개했습니다. 아직 외부에 공개하지 않은 내부 연구용 모델로 브라우저와 운영체제처럼 전 세계에서 가장 널리 쓰이는 소프트웨어의 심각도 높은 취약점을 찾고, 사용자 상호작용이 거의 또는 전혀 없는 상태에서 원격 코드 실행까지 이어지는 공격 체인 다섯 개를 완성한 기록입니다. 이 연구는 Anthropic의 Frontier Red Team이 수행했습니다.

Anthropic은 다섯 건 모두를 자체 조정 취약점 공개 절차에 따라 해당 벤더에 보고했다고 밝혔습니다. 이 절차는 개발사에 90일의 패치 기간을 주고, 공개 권고문에 이미 담긴 범위를 넘어선 세부 내용은 추가로 45일이 지난 뒤에 논의합니다. 따라서 원문에 실린 설명도 이미 수정이 끝난 범위에 머물러 있습니다.

원문이 이 대상을 고른 이유는 분명합니다. 브라우저와 운영체제 커널은 취약점 하나가 수십억 명에게 영향을 줄 수 있고, 동시에 세계에서 가장 많은 보안 투자를 받은 코드이기도 합니다. 모델이 이 영역에서 작동하는지는 취약점 연구 역량을 재는 기준점이 됩니다.

브라우저 공격 체인

Chrome 원클릭 원격 코드 실행

초기 프롬프트 이후 Claude는 브라우저 샌드박스 밖에서 사용자 권한으로 임의 코드를 실행하는 전체 공격 체인을 작성했습니다. 시연 코드는 기본 설정 그대로의 macOS Chrome에서 페이지가 로드된 뒤 몇 초 안에 계산기 앱을 실행하며, 그 사이 추가 사용자 조작은 없었습니다.

체인은 네 단계로 구성됩니다. 먼저 Claude가 Chrome의 자바스크립트 엔진 V8에서 악성 웹페이지가 힙 메모리를 손상시킬 수 있는 취약점을 찾았습니다. 두 번째로 V8의 메모리 영역 샌드박스를 벗어나 ASLR을 무력화하는 별도 취약점을 찾아, 메모리 안에서 Chrome 코드의 위치를 특정하고 ROP 체인으로 렌더러 프로세스를 완전히 장악했습니다. 세 번째로 장악한 렌더러가 Chrome의 프로세스 샌드박스에 갇혀 있었기 때문에, CacheStorage의 경쟁 조건을 찾아 샌드박스 밖 메모리를 읽어 권한이 높은 브라우저 프로세스의 메모리 배치를 파악했습니다. 마지막으로 연합 로그인 기능인 FedCM의 use-after-free를 찾아 샌드박스 밖에서 임의 코드를 실행했습니다.

Anthropic은 이 결과를 Google에 보고했고, Chrome 156 기준으로 62개의 CVE가 할당되고 패치되었습니다. 모두 심각 또는 높음 등급이며, 이 가운데 13개가 샌드박스 탈출, 21개가 렌더러를 장악할 수 있는 취약점이었습니다.

Safari 원클릭 공격 체인

초기 프롬프트 이후 Claude는 임의 웹사이트의 자바스크립트가 동일 출처 정책을 완전히 우회하도록 하는 공격 체인을 작성했습니다. 이 공격으로 사용자의 Safari 방문 기록과 쿠키, 그 밖의 민감 데이터에 접근할 수 있고, 다른 도메인에 인증된 HTTP 요청을 보내 응답까지 읽을 수 있습니다. 원문은 사용자가 메일에 로그인해 있으면 공격자가 메일을 읽을 수 있고, 은행 계정에 로그인해 있으면 잔액을 확인하거나 송금을 시도할 수 있다고 설명합니다.

Claude는 네 단계로 보호 장치를 통과했습니다. C++로 작성된 Safari의 자바스크립트 엔진 JavaScriptCore에서 특정 TypedArray 연산이 해제된 메모리를 가리키는 포인터를 통해 값을 써서 TypedArray 메타데이터를 덮어쓰는 use-after-free를 찾았습니다. WebKit의 Gigacage는 TypedArray 데이터를 별도 메모리 영역으로 격리해 이런 공격을 완화하지만, Claude는 그 영역의 일부 변수가 다른 영역을 가리키는 색인으로 쓰인다는 점을 찾아 Gigacage 밖에 대한 임의 읽기와 쓰기 수단을 확보했습니다. 웹사이트 자바스크립트는 WebContent 샌드박스에서 실행되는데, Claude는 샌드박스의 프로세스 간 통신 구조에서 디스크에 저장된 기록과 쿠키, 세션 데이터베이스를 읽을 수 있는 취약점을 찾았습니다. 마지막으로 앞서 확보한 use-after-free로 메모리의 변수를 덮어써 동일 출처 정책을 껐습니다.

원문은 이 체인이 임의 코드 실행에 전혀 의존하지 않는 데이터 전용 공격이라는 점을 흥미롭게 봅니다. 브라우저 프로세스 메모리에 대한 완전한 읽기와 쓰기 권한으로 보안 플래그 하나와 객체 크기, URL을 바꾼 것이 전부입니다. 또한 체인에 쓰인 약점 가운데 여러 개는 단독으로는 취약점이 아니고 의도된 동작이며, 결합될 때 악용 가능해집니다. Apple은 보고 당일 접수를 확인하고 곧바로 수정을 적용했으며, 해당 수정은 사용자에게 배포되었습니다.

운영체제와 커널 공격 체인

Android 잠금화면 우회

초기 프롬프트 이후 Claude는 탈취된 Android 휴대전화를 잠금 해제하지 않고도 사진과 개인정보를 빼내는 공격 코드를 작성했습니다. 작업은 세 가지 방법을 결합했습니다. Android의 공개 소스 부분에 대한 소스 코드 분석, Google Play services 바이너리의 역공학과 난독화 해제, 실제 Google Pixel 9 기기에서의 실행 테스트입니다. 이 과정에서 공개 구성 요소와 비공개 구성 요소 양쪽에서 다양한 취약점이 나왔고, Claude는 그중 세 개를 엮어 최종 공격 코드를 만들었습니다.

우회한 보호 장치는 네 가지입니다. 잠긴 Android 기기는 USB로 데이터를 전송하지 않도록 설계되어 있지만, Claude는 특정 설정을 가진 USB 호스트가 이를 우회한다는 사실을 찾았습니다. 기기 간 전송 프로토콜은 인증되지 않은 상대의 데이터 명령을 거부하지만, Claude는 인증 검사를 건너뛰고 페어링을 시작하는 방법을 찾았습니다. 페어링은 사용자가 여섯 자리 코드를 확인하도록 요구하는 인증된 키 합의로 보호되는데, Claude는 이 검증을 생략하고 사용자가 허용을 누른 것처럼 동작하게 하는 결함을 찾았습니다. 마지막으로 USB 전송은 하드코딩된 검사로 파일 내용을 실어 보내지 못하게 되어 있었으나, Claude는 검사 대상에 포함되지 않은 대체 경로가 원시 바이트를 USB로 보낸다는 점을 찾아 그 경로로 파일 내용을 요청했습니다. 이 문제는 Google이 조치했습니다.

Windows 원격 서비스 거부

초기 프롬프트 이후 Claude는 Windows 기본 구현으로 HTTP/3 요청에 응답하는 모든 장비를 원격에서 충돌시킬 수 있는 공격 코드를 작성했습니다. 이 사례의 난점은 취약점 자체를 찾아내는 데 있었습니다. Anthropic은 이 취약점을 Microsoft에 직접 보고했고, Microsoft는 수정 후 CVE-2026-33096을 할당했습니다.

취약점은 Windows 커널의 QUIC 구현에 있는 메모리 안전성 문제로, 범위를 벗어난 읽기였습니다. 공격자는 네트워크를 통해 원격에서 해당 코드 경로에 도달할 수 있고, 수신 대기 중인 서버에 패킷 몇 개를 보내 장비를 충돌시키고 재시작하게 만들 수 있습니다. 이 요청을 반복해 보내면 서버를 계속 충돌 상태로 둘 수 있어 모든 사용자가 서버에 접근할 수 없게 됩니다. Anthropic은 인터넷에서 이런 상태로 수신 대기하는 서버가 수백만 대 규모일 것으로 추정했습니다.

발견 방식은 다른 사례와 다릅니다. Claude는 바이너리 분석으로 이 취약점을 찾았습니다. 연구팀은 모델에 Windows 실행 파일을 주고, Ghidra 같은 기존 역공학 도구를 써서 소프트웨어 동작을 역공학하고, 관련 기능을 재현하는 주석이 완비된 C 프로그램을 작성하고, 재현한 프로그램의 동작을 바이너리와 비교해 정확성을 확인한 뒤 그 코드에서 취약점을 살피도록 요청했습니다. 더 위험도가 높은 문제를 찾아달라고 요청했을 때 모델이 원격 악용 가능한 이 취약점을 끌어냈습니다.

Linux 제로클릭 원격 코드 실행

원문은 서드파티 제품에 집중하면서도 오픈소스 작업이 계속되고 있다고 밝혔습니다. Claude와 함께 OpenBSD, FreeBSD, Linux에서 로컬 권한 상승 취약점을 찾았고, 널리 쓰이는 샌드박싱 기반 구조에서 여러 개의 샌드박스 탈출을 찾았으며, 중요한 웹 애플리케이션에서도 다수의 취약점을 찾았습니다. 또한 Linux 커널 네트워킹 스택에서 원격으로 유발 가능한 제로클릭 임의 코드 실행 취약점도 찾았고, 이들은 업스트림에 패치되고 공개되었습니다.

원문이 상세히 소개한 사례는 다중 경로 TCP 수신기를 운영하는 Linux 서버를 대상으로 합니다. 초기 프롬프트 이후 Claude는 원격 공격자가 자격 증명이나 사용자 상호작용 없이 패킷을 보내 root 권한으로 임의 명령을 실행하게 하는 공격 코드를 작성했습니다. 근본 원인은 커널 네트워킹 스택의 경쟁 조건으로 발생하는 use-after-free입니다.

공격은 두 단계로 나뉩니다. 첫 단계에서 공격자는 원격에서 KASLR을 무력화합니다. 경쟁 조건을 악용해 커널이 공격자가 제어하는 길이 필드를 읽어 추가 바이트를 복사해 되돌려 보내게 만들고, 그 응답 가운데 하나에 커널 포인터가 포함되면 공격자는 커널 주소 공간 배치를 알아냅니다. 두 번째 단계에서 공격자는 제어 흐름을 가로챕니다. 같은 use-after-free로 버퍼를 넘치게 해 콜백 포인터를 덮어쓰고, 일반적인 프로토콜 기능을 통해 커널 메모리에 미리 올려둔 페이로드의 주소를 그 자리에 넣습니다. 커널이 콜백을 호출하면 페이로드가 기존 커널 함수 호출을 연쇄적으로 실행하고, 마지막에 공격자가 선택한 셸 명령이 root 권한으로 실행됩니다.

이 경쟁 조건이 공격을 가능하게 만든 특성은 실패 방식에 있습니다. 경쟁에서 지면 핸드셰이크만 실패하고 시스템 전체가 충돌하지 않기 때문에, 끈질긴 공격자는 성공할 때까지 무한히 재시도할 수 있습니다. Anthropic의 시연 코드는 커널 포인터를 유출하는 데 48분, 이어서 셸 명령 실행에 이르는 데 5분이 더 걸렸습니다. 이 취약점은 CVE-2026-98432로 업스트림에 패치되었고 유지 관리되는 모든 안정 커널 분기로 백포트되었습니다.

발견 방식의 두 가지 특징

원문은 이 보안 작업에서 확인한 사항 가운데 두 가지를 특히 중요하다고 꼽았습니다.

첫째는 추론 시점 연산 확대와 스캐너 다양성이 찾아내는 취약점 수를 크게 늘린다는 점입니다. Anthropic은 다수의 스캐닝 에이전트를 병렬로 실행하는 플랫폼을 만들고, 각 스캐너를 전체 결과에 추가로 기여한 취약점 수로 평가하며, 커버리지를 동적으로 추적해 스캐너들이 코드베이스 전체를 처리하도록 했습니다. 확인된 모든 발견에 대해 Claude로 자동 변종 분석도 수행했습니다. 모든 결과는 표준화된 검증과 위험 등급 산정 과정을 통과하므로, 품질 기준을 낮추지 않고 새로운 스캐너를 자유롭게 실험할 수 있다고 설명합니다.

둘째는 기존 미처리 항목을 해결하는 것으로는 절반만 끝난다는 점입니다. 나머지 절반은 새 취약점이 코드베이스에 들어오는 속도를 줄이는 일입니다. Anthropic은 이를 위해 PR 시점 스캔을 권장하고, 보안 지침을 개발 과정에 직접 넣는 Claude Code 플러그인을 만들어 공개했습니다. 우리나라 기업에 적용하면 진단 용역을 한 번 더 받는 일보다 코드 리뷰 단계에 검사를 끼워 넣는 쪽이 먼저라는 뜻으로 읽힙니다.

방어자에게 달라지는 것

원문은 프런티어 모델이 여러 취약점을 찾아 하나의 작동하는 공격 코드로 결합할 능력을 갖췄다고 정리합니다. 이 능력은 그동안 해당 대상에 전문성을 가진 소수의 전담 팀만이 다룰 수 있는 영역이었습니다. 이제 모델이 사람의 개입을 거의 받지 않고 수행하고, 누구나 실행해 검증할 수 있는 작동 코드로 증명합니다. Anthropic의 조언은 그대로입니다. 자기 코드를 직접 스캔하는 일이 어느 때보다 중요해졌다는 것입니다.

같은 맥락에서 Anthropic은 확장판 Cyber Verification Program을 공개했습니다. 자격을 갖춘 보안 전문가에게 고급 사이버 역량과 완화된 차단 분류기를 제공하는 프로그램으로, Claude Opus 5.5와 Claude Sonnet 5.5, Claude Mythos 5.1을 포함한 가장 강력한 모델 접근을 포함합니다. 일반 공개 모델에는 대부분의 사이버 작업을 막는 보수적인 안전장치가 걸려 있으므로, 공격 재현을 포함한 작업에는 별도 등급이 필요합니다.

Anthropic은 등급별 보호의 실효성을 CyScenarioBench로 확인했습니다. CVP 접근이 없으면 모든 과제가 첫 프롬프트에서 차단되었고, Defense Access 등급에서는 50회 시도 가운데 46회가 어느 지점에서든 차단되고 4개 과제만 성공했습니다. Red Team Access 등급에서는 차단이 없었고 Claude Opus 5.5가 50개 가운데 34개를 완료해, 안전장치를 적용하지 않은 상태의 성공률 67.6퍼센트와 사실상 같았습니다. 프로그램 가입 조직에는 사이버 오용 감시를 위해 데이터 보존이 요구되며, 제로 데이터 보존과 안전장치를 함께 제공하는 Enterprise Frontier Safeguards가 준비되면 조직이 통제하는 클라우드에 데이터를 둘 수 있게 된다고 설명합니다. 코드 리뷰, 알려진 문제 패치, 보유 소스 코드 내 취약점 탐색, 보안 경보 분류 같은 작업은 일반 공개 모델로 계속 수행할 수 있습니다.

검증 병목과 오픈소스 스캐너

방어 쪽 숫자는 이미 사람이 감당하기 어려운 규모입니다. Anthropic은 Project Glasswing 파트너들이 2026년 4월부터 7월 사이에 최소 12만 9천 건의 검증된 소프트웨어 취약점을 찾아냈고, 자체 오픈소스 스캔으로 2026년 4월부터 10월 사이에 5천 5백 건을 추가로 찾았다고 밝혔습니다. 이 가운데 3만 3천 건 이상이 심각 또는 높음 등급으로 평가되었습니다. 다만 이 수치는 파트너 33곳의 보고에 기반한 부분 데이터이고 패치 수치를 공개한 파트너가 절반 미만이어서, 실제 영향은 최소 다섯 배 이상일 것으로 본다고 덧붙였습니다. 파트너 가운데 여러 곳은 Claude Mythos 없이 같은 수의 취약점을 찾으려면 수개월에서 수년이 더 걸렸을 것이라고 답했습니다.

OSS Scanner 공개 글은 병목의 위치를 분명히 보여줍니다. 지난 6개월 동안 2만 9천 건 이상의 취약점 후보를 찾았지만 사람이 직접 검토하고 분류한 것은 약 6천 건에 그쳤습니다. 메인테이너들이 검증되지 않은 보고라도 일괄로 받고 싶다고 요청하는 일이 늘어, 지금까지 약 5천 건을 요청에 따라 그대로 전달했습니다. 학술 벤치마크 CyberGym에서 LLM의 취약점 발견 비율이 지난해 초 20퍼센트 미만에서 올해 85퍼센트 이상으로 올랐다는 수치도 함께 제시했습니다.

품질 검증 결과도 공개되었습니다. 초기 버전의 결과를 검증하기 위해 48개 프로젝트에서 나온 심각 및 높음 등급 취약점 97건을 전문 침투 테스터가 확인했고, 85건(88퍼센트)이 조정 공개 절차 기준을 충족했습니다. 남은 12건 가운데 11건은 실제 문제였으나 이미 알려진 사안이나 같은 스캔의 다른 결과와 중복이었고, 오탐은 1건이었습니다. 다만 Anthropic은 일부 메인테이너가 심각도가 부풀려지거나 스캐너가 프로젝트의 위협 모델을 잘못 이해한 경우를 지적했다고 밝히며, 완벽을 보장할 수 없다고 적었습니다. 기업용으로는 코드 스캔과 패치를 제공하는 Claude Security가 있고, 오픈소스 프로젝트에는 OSS Scanner가 무료로 제공됩니다. 다만 OSS Scanner의 결과물은 사람의 검토와 분류를 거치지 않은 완전한 모델 생성물입니다.

우리나라 기업이 확인할 것

첫째, 공격 재현 비용이 내려간 만큼 패치 적용 주기를 다시 점검할 필요가 있습니다. 이번 사례에서 Chrome은 156 버전 기준으로 62개의 심각 및 높음 등급 취약점이 정리되었고, Windows와 Linux 건은 CVE가 할당되어 수정되었습니다. 발표 시점에 이미 수정이 끝난 문제들이므로 기업이 할 일은 자산 목록과 패치 적용 상태를 맞추는 일입니다. 특히 사용자 상호작용이 필요 없는 Windows HTTP/3 서비스 거부와 Linux 다중 경로 TCP 건은 외부에 노출된 서버 목록부터 확인할 대상입니다.

둘째, 진단을 한 번 더 받는 방식으로는 절반만 해결됩니다. 원문은 미처리 항목 해소와 신규 유입 속도 감축을 분리해 보고, PR 시점 스캔을 권장했습니다. 우리나라 기업의 개발 조직에서는 코드 리뷰 체크리스트와 CI 단계에 보안 검사를 넣는 설계가 먼저 논의될 사안입니다.

셋째, 검증 인력이 새로운 병목입니다. Anthropic 자신도 2만 9천 건의 후보 가운데 6천 건만 분류했습니다. 스캔 도구를 도입하기 전에 결과를 받아 심각도를 판정하고 수정 담당자에게 넘기는 절차와 인력을 함께 설계해야 합니다. 도구 계약보다 분류 체계가 먼저입니다.

넷째, 공격적 보안 작업에는 별도 접근 권한이 필요합니다. 일반 공개 모델은 대부분의 사이버 작업을 차단하도록 설정되어 있고, 침투 테스트나 공격 재현이 필요한 조직은 Cyber Verification Program의 등급별 신청 절차를 거쳐야 합니다. 보유 소스 코드 내 취약점 탐색과 패치, 보안 경보 분류는 일반 모델로 가능하다는 점도 구분해 둘 필요가 있습니다. 데이터 보존 요구 사항은 우리나라 개인정보보호법과 사내 보안 정책에 비추어 사전에 검토할 항목입니다.

다섯째, 같은 역량이 공격자에게도 열려 있다는 전제로 계획을 세우는 편이 안전합니다. Frontier Red Team은 안전장치 없이 공개된 다른 프런티어 모델의 사이버 역량도 추적하고 있습니다. 모델 역량이 방어자에게만 주어진다고 가정하지 않고, 노출 자산 축소와 탐지 체계 정비를 함께 진행할 근거가 됩니다.

출처: Discovering and exploiting vulnerabilities in critical, real-world software with Claude, Frontier Red Team, An opt-in vulnerability-finding service for open-source software, Expanding the Cyber Verification Program