Chrome 풀체인 취약점이 이번에 공략된 속도는 브라우저를 쓰는 모든 사람이 경계할 만한 수준입니다. 2026년 10월 13일, 자율 공격 보안 기업 XBOW는 Business Wire 보도자료를 통해 연구원 Brendan Dolan-Gavitt가 OpenAI의 GPT-5.6 Sol 기반 에이전트와 협업해 단 6일 만에 Chrome 공격 체인 전체를 구축했고, 구글 Chrome 취약점 보상 프로그램에서 25만 달러를 받았다고 발표했습니다. 2026년 새 규칙 아래 첫 풀체인 상금이며, 자율 공격 보안 플랫폼이 받은 첫 사례이기도 합니다.
단독으로는 평범해 보이는 버그 세 개가 어떻게 하나의 체인이 됐나
이 체인은 세 단계로 두 개의 샌드박스 경계를 넘었습니다. 먼저 Chrome의 자바스크립트 엔진 V8의 버그로 엔진 샌드박스 내부 메모리 제어권을 얻고, 다음으로 애니메이션 WebP 디코더의 버그(CVE-2026-85045)로 그 샌드박스를 벗어나 네이티브 메모리에 정밀한 쓰기를 수행했으며, 마지막으로 샌드박스 밖에서 실행되는 충돌 처리 구성 요소 Crashpad의 버그(CVE-2026-78952)가 이 쓰기를 완전한 코드 실행으로 바꿨습니다. 결과적으로 일반 웹페이지를 여는 것만으로 샌드박스 밖의 프로그램이 실행될 수 있었고, 다운로드도 추가 클릭도 필요 없었습니다. XBOW는 수정 전 전 세계 Windows용 Chrome 사용자 약 10억 명이 이 유형의 결함 영향 범위에 있었다고 추정합니다. 세 버그는 모두 공식 경로로 신고됐고, 구글 엔지니어들이 체인을 재현·확인해 수정 사항을 배포했으며, 실제 사용자를 대상으로 악용된 적은 없습니다.
6일과 약 4만 달러가 바꾸는 공방의 셈법
이 등급의 브라우저 풀체인 공격을 구축하는 데는 과거 수개월이 걸렸습니다. XBOW는 이번 성공 캠페인의 컴퓨팅 비용을 약 4만 달러, 기간을 6일로 추정합니다. 창립자 겸 CEO Oege de Moor는 보도자료에서, 단독으로는 심각해 보이지 않는 취약점도 이제 빠르게 고위험 공격 경로로 연결될 수 있으며, 공격 측이 이 속도로 움직이는 만큼 방어 측도 악용 가능한 경로를 먼저 찾을 같은 속도가 필요하다고 지적했습니다. OpenAI 사이버 연구 책임자 Clint Gibler는 사람들이 매일 의존하는 소프트웨어를 지키기 위해 이런 역량을 더 많은 방어자 손에 쥐여 주고 싶다고 말했습니다. XBOW는 상금을 비정부기구 보안 지원 지속에 사용할 계획이라고 밝혔습니다.
사용자와 팀이 지금 해야 할 일
개인 사용자에게 필요한 행동은 하나뿐이지만 미루지 않는 것이 중요합니다. Chrome 업데이트 알림이 뜨면 몇 주씩 방치하지 말고 브라우저를 재시작해 업데이트를 마쳐야 합니다. 기업 보안 팀에게 이 사건의 신호는 더 구체적입니다. 수정 우선순위를 단일 버그의 등급만으로 정하지 말고, 대기 중인 중·저위험 문제들이 서로 체인으로 연결될 수 있는지 평가해야 합니다. 이 사이트가 앞서 전한 Anthropic의 증류 방어가 효과를 내며 Claude에서 추출되는 추론량이 크게 줄어든 소식은 모델 층에서의 방어 가속이었지만, 이번 사례는 브라우저 같은 기반 소프트웨어에서도 공방의 속도가 에이전트에 의해 다시 쓰이고 있음을 보여 줍니다. 자기 시스템을 에이전트로 먼저 두드려 본 쪽이 수정의 주도권을 잡습니다.
