Epoch AI가 2026년 10월 30일에 공개한 실험 요약에 따르면, Z.ai가 8월에 공개한 오픈 가중치 모델 GLM 5.3은 이미 공개됐지만 사용자에게 아직 전달되지 않은 보안 패치를 이용해 파이어폭스에 대한 공격을 스스로 만들 수 있다. 모델이 생성한 웹페이지는 한 번 방문하는 것만으로 방문자 컴퓨터의 파일을 읽어 공격자에게 보낼 수 있었고, 방문자가 추가로 클릭할 필요는 없었다. Epoch AI는 이런 공격이 저장된 비밀번호 읽기, 로그인 정보 탈취, 개인 파일 열람에 쓰일 수 있다고 지적했다.
패치 공백은 어떻게 이용됐나
패치 공백이란 수정 코드가 이미 공개됐지만 사용자가 아직 업데이트를 받지 못한 기간을 말한다. 파이어폭스 수정 사항은 베타 버전이나 나이틀리 빌드에 먼저 나타나는 경우가 많다. Epoch AI는 모델에 목표 버전 번호와 기본 도구, 공개 당시 이미 공개된 정보만 주고, 어떤 변경이 보안 수정인지 모델 스스로 판단하게 한 뒤 취약점을 고르고 여러 단계의 공격 사슬을 조립하게 했다. 실험은 2026년 9월 17일부터 10월 26일까지 공개된 파이어폭스 6개 버전을 대상으로 했고, 모두 돌파됐다. 모델은 먼저 메모리 안전성 결함을 통해 브라우저 안에서 읽고 쓸 수 있는 능력을 얻었고, 보호 기능이 목표 파일을 막은 뒤에도 단계를 계속 조합해 결국 페이지 방문만으로 파일을 읽었다.
1천 달러라는 숫자 뒤의 두 가지 전제
비용 숫자는 두 가지 전제와 함께 이해해야 한다. Epoch AI가 공개한 총지출은 10만 달러를 넘었고, 오프라인 실험 환경 구축과 초기 테스트가 포함됐다. 환경이 갖춰진 뒤 새 버전을 돌파하는 데는 평균 약 1천 달러가 들었고, 한 번의 시도는 가장 빨라 12시간, 최장 48시간이 걸렸다. 성공한 공격은 매번 두 개의 취약점을 연결했다. 하나는 패치 공백에서 얻은 것이고, 다른 하나는 모델이 반복해서 다시 찾아낸 미공개 취약점으로, 후자가 샌드박스 제한을 우회하는 데 도움이 됐다. 이 미공개 취약점은 모질라에 알려졌고, 파이어폭스 159.0은 10월 27일에 공개돼 이를 수정했다. 159.0에 같은 공격을 재현할 수 있는지는 아직 확인되지 않았다. 실험 기간에 Z.ai를 포함해 어떤 모델 제공자도 안전장치나 거부를 작동시키지 않았다. 같은 방법으로 크롬을 공격한 시도는 성공하지 못했지만, Epoch AI는 그것이 크롬을 같은 방법으로 공격할 수 없다는 증거가 되지 않는다고 밝혔다.
사용자와 업체에 주는 의미
일반 사용자에게 가장 직접적인 조치는 파이어폭스 159.0으로 빨리 업데이트하고 자동 업데이트를 켜 두는 것이다. 업체 입장에서는 수정 코드가 공개되는 순간 취약점의 위치를 공격자에게 알리는 셈이 된다. Epoch AI는 수정 사항을 배포 준비가 될 때까지 비공개로 둘 것, 베타에서 정식 버전으로의 전달을 앞당길 것, 연결 가능한 취약점을 같은 수정 묶음에 넣지 말 것을 제안했다. 파이어폭스와 크롬은 모두 주간 배포로 바꿨지만, 모델이 이틀 안에 쓸 만한 공격 사슬을 만들 수 있어 더 빠른 속도만으로는 부족할 수 있고, 업데이트가 느린 공유기 펌웨어나 스마트폰 운영체제가 더 큰 위험을 안고 있다. Epoch AI는 또 이 연구가 보여주는 것은 오픈 가중치 모델이 이미 이런 공격 능력을 갖췄다는 점뿐이며, 공격과 방어의 전체 균형에 대해서는 결론을 내리지 않는다고 설명했다.
