제미니 요원이 크롬 코드에서 13년 된 샌드박스 탈출 프로그램을 찾아냈습니다

크롬의 엔지니어링 책임자인 더그 터너는 "대규모 언어 모델은 사이버 보안의 경제성을 근본적으로 바꿔놓았으며, 취약점 발견을 자동화된 산업 규모의 작업으로 탈바꿈시켰다"고 말했습니다. 그는 제미니와 같은 모델을 통해 팀이 "선제적으로" 결함을 수정하고 공격자보다 앞서 나갈 수 있다고 덧붙였습니다.

회사 측은 "발견 및 수정된 버그의 증가가 실패의 징후는 아니다"라고 밝혔습니다

구글은 또한 AI를 훈련시켜 접수된 보고서를 검증하고 분류하며 수정하고 있습니다. 이전에는 보안 보고서 하나를 처리하는 데 사람이 5분에서 30분 이상 소요되었습니다. 이제 규칙과 모델을 결합한 파이프라인이 스팸과 중복 보고서를 걸러내고, 영향을 받는 운영 체제와 Chrome 버전에서 버그를 재현하고, 심각도 및 버그 발생 시점과 같은 메타데이터를 첨부하여 담당자에게 전달합니다.

구글은 이러한 변화로 매달 수백 시간의 개발자 작업 시간이 절약될 것으로 추산합니다.

이 시스템은 수정 작업을 위한 에이전트를 실행하여 여러 개의 후보 패치를 제안하고, 두 번째 검증 에이전트를 실행하여 가장tron후보를 선택합니다. 코드 검토와 마찬가지로, 변경 사항이 컴파일되고 크로미움 스타일 규칙을 충족할 때까지 이 과정을 반복합니다. 또한 엔지니어가 최종 승인을 하기 전에 테스트를 작성합니다.

해당 모델은 일반 인터넷 접속이 차단된, 허용된 네트워크 감청망 뒤에서 실행되는, 소스 코드가 격리된 머신에서 소스 코드를 읽습니다. 또한 지정된 소스 디렉터리 외의 파일에는 접근할 수 없습니다.

구글은 패치가 공개 소스 코드에 반영된 시점과 사용자가 실제로 적용하는 시점 사이의 시간 간격인 "패치 격차"를 줄이기 위해 노력하고 있습니다. 공격자들은 이 시간 동안 패치를 분석하고 악용 사례를 개발할 수 있습니다. 구글은 주 2회 보안 업데이트를 시범 운영하고 있으며, 크롬을 완전히 재시작하지 않고도 일부 기능만 업데이트할 수 있는 동적 패치 기술을 개발 중입니다.

이러한 급증세는 구글의 버그 현상금 프로그램에도 변화를 가져왔습니다. 외부 제보가 너무 빠르게 증가하여 3월에는 2025년 한 해 동안 접수된 제보 건수를 모두 합친 것보다 더 많은 제보가 들어왔습니다. 이에 구글은 자사 도구로는 발견하기 어려운 버그를 연구자들이 찾도록 유도하기 위해 크롬 취약점 보상 프로그램을 개편했습니다.

장기적으로 구글은 메모리 안전성 도구인 MiraclePtr을 확장하고, 새로운 구성 요소를 Rust로 변환하며, 오픈 소스 보안 프로젝트인 Alpha-Omega에 1,250만 달러를 기부할 예정입니다.

마이크로소프트는 최근 '패치 화요일'을 통해 역대 최다인 570개의 취약점을 수정하면서 AI 관련 내용을 언급했지만, 애플은 2026년 기준 482개의dent 수정으로 마이크로소프트와는 다른 흐름을 보이고 있습니다.