구글 크롬, AI로 취약점 폭증 잡고 재시작 없는 업데이트?!

---

Google says AI-powered vulnerability discovery drove a record number of Chrome security fixes, and it's now developing restart-free patching to close the gap before attackers can exploit new bugs.

구글이 인공지능(AI) 기반 취약점 탐지 덕분에 크롬(Chrome) 보안 패치 건수가 사상 최대치를 기록했다고 밝혔으며, 공격자가 새로운 버그를 악용하기 전에 격차를 좁히기 위해 재시작이 필요 없는 패치 방식을 개발하고 있습니다.

---

 

사진출처) Google

 

구글(Google)이 크롬(Chrome) 브라우저의 보안 패치 속도를 인공지능(AI)을 통해 크게 끌어올리고 있다고 공식 블로그를 통해 밝혔습니다.

​

최근 배포된 크롬 149와 크롬 150 두 개 버전에서만 총 1,072건의 보안 버그가 수정되어, 이전 23개 버전에서 수정된 버그를 모두 합친 것보다 많은 수치를 기록했습니다.

​

구글은 2026년 초 제미나이(Gemini)를 활용한 에이전트 체계를 구축해 크롬 코드베이스 전반에서 취약점을 탐지하기 시작했으며, 이를 통해 오탐률을 낮추면서도 탐지 효율을 크게 높였다고 설명했습니다.

​

이 과정에서 발견된 취약점 중에는 무려 13년 동안 코드베이스에 숨어 있던 샌드박스 우회 버그도 포함되어 있었으며, 이는 손상된 렌더러가 브라우저를 속여 로컬 파일에 접근하도록 만들 수 있는 결함이었던 것으로 전해졌습니다.

​

구글은 취약점 발견뿐 아니라 검증·분류(triage) 및 수정 과정도 AI로 자동화하고 있으며, 과거 5분에서 30분 이상 걸리던 수작업 분류를 스팸 여부 확인, 재현 테스트, 메타데이터 보강, 담당자 자동 배정의 4단계 자동 절차로 대체했다고 밝혔습니다.

​

버그 수정 단계에서도 '수정 에이전트'가 여러 개의 후보 패치를 만들면 '검토 에이전트'가 이를 평가하고, '테스트 작성 에이전트'가 여러 플랫폼에서 동작을 검증하는 다중 에이전트 협업 구조를 도입했다고 합니다.

사진출처) Google

 

구글 딥마인드(Google DeepMind) 및 프로젝트 제로(Project Zero)와 함께 개발한 빅슬립(Big Sleep)과 코드멘더(CodeMender)는 매 24시간마다 모든 코드 변경 사항을 스캔하도록 지속적 통합(CI) 시스템에 통합되어 있으며, 지난 5월 한 달 동안에만 치명적 등급의 취약점을 포함해 20건 이상의 결함이 실제 배포 전에 차단되었다고 전했습니다.

​

이처럼 AI 기반 취약점 탐지가 폭발적으로 늘어난 배경에는 2023년 보안 퍼징(fuzzing) 강화를 시작으로, 2024년 프로젝트 제로와 함께 개발한 냅타임(Naptime), 2025년 딥마인드와 함께 만든 빅슬립까지 이어진 수년간의 기술 축적이 자리하고 있습니다.

​

이러한 변화의 이면에는 공격자 역시 AI를 활용해 더 빠르게 취약점을 찾아낼 수 있다는 우려가 깔려 있다고 짚었습니다.

​

실제로 수정된 코드가 오픈소스 코드베이스에 공개되는 순간부터 공격자가 이를 역분석해 악용하는 이른바 'N-데이(N-day)' 공격의 위험이 발생하며, 구글은 이 '패치 갭(patch gap)'을 줄이는 것이 핵심 과제라고 합니다.

​

이에 구글은 이미 발표한 격주 정기 업데이트 체계에 더해, 주 2회 보안 업데이트를 배포하는 방안까지 시범 운영 중이라고 밝혔습니다.

 

사진출처) Google

 

다만 아무리 패치 배포 속도를 높여도 상당수 사용자가 브라우저 재시작을 미루는 경향이 있어, 실제 보호 효과로 이어지기까지 시간차가 발생하는 문제가 남아 있습니다.

​

이를 해소하기 위해 크롬 150 버전부터는 macOS에서 창을 모두 닫아도 앱이 백그라운드에서 계속 실행되는 특성을 활용해, 재시작 없이 업데이트를 적용하는 '제로 윈도우 재시작(zero window restart)' 기능이 도입되었습니다.

​

구글은 한 걸음 더 나아가 브라우저를 완전히 재시작하지 않고도 렌더러·GPU 등 백그라운드 프로세스만 새 바이너리로 교체하는 '다이내믹 패칭(dynamic patching)' 기술도 연구 중이라고 밝혔으나, 아직 개발 단계이며 구체적인 적용 시점은 확인되지 않았습니다.

​

실제로 150 버전에서 151 버전 업그레이드 시에 아직은 '다시 시작'을 누른 후 크롬브라우저가 잠시 종료 되었다가 다시 활성화 되는 것을 확인할 수 있습니다.

사진출처) 크롬 브라우저 ❘ 설정화면 스크린캡쳐

구글은 이 외에도 유즈애프터프리(UAF) 취약점을 겨냥한 미러클Ptr(MiraclePtr) 확대, 메모리 안전 언어인 러스트(Rust)로의 전환 등 코드베이스 자체의 구조적 취약점을 줄이는 작업도 병행하고 있다고 합니다.

​

이번 변화로 앞으로 크롬 업데이트 빈도가 더 잦아지고, macOS 등 일부 플랫폼에서는 사용자가 체감하지 못하는 사이에 패치가 적용되는 사례도 늘어날 것이라는 전망도 있습니다.

​

AI가 보안 공방의 양측 모두를 가속화하는 상황에서, 다이내믹 패칭이 실제로 구현될 경우 브라우저 보안 업데이트의 방식 자체가 어떻게 달라질지 주목됩니다.

---

※ 기사 내용 참조

 

[Google Blog] Stronger with every update: How we're making Chrome and the web safer in the AI Era | by Chrome Security Team | Jul 30, 2026 | https://blog.google/security/chrome-stronger-with-every-update/

 

[Ars Technica] Chrome may get faster updates with no restart required | by Ryan Whitwam | Jul 31, 2026 | https://arstechnica.com/ai/2026/07/chrome-may-get-faster-updates-with-no-restart-required/

---

 

https://pf.kakao.com/_UCxoxnT

웨어러블서치