구글 '6월 한 달간 AI로 잡은 크롬 버그, 지난 2년 치보다 많았다'

구글이 크롬 보안 블로그를 통해 흥미로운 수치를 공개했어요. 올해 6월 한 달 동안 수정한 크롬 버그가 지난 2년 동안 고친 것보다 많았다는 건데요. 그 비결로 AI를 꼽았어요. 크롬은 전 세계 수십억 명이 쓰는 소프트웨어라서 버그 하나가 곧바로 대규모 보안 사고로 이어질 수 있는 물건이에요. 그런 제품에서 버그 수정량이 한 달 만에 2년 치를 넘었다는 건, 단순히 '열심히 했다'가 아니라 버그를 찾는 방법 자체가 바뀌었다는 뜻이거든요.

비결은 '퍼징'의 진화예요

핵심에는 퍼징(fuzzing)이라는 기법이 있어요. 이게 뭐냐면, 프로그램에 일부러 이상하고 망가진 입력을 자동으로 수없이 던져서 죽거나 오작동하는 지점을 찾아내는 테스트 방법이에요. 자물쇠에 오만가지 열쇠를 다 꽂아보는 것과 비슷하죠. 크롬은 원래도 퍼징을 대규모로 돌려온 대표적인 프로젝트인데, 기존 퍼징에는 한계가 있었어요. 퍼징 하네스, 그러니까 '입력을 넣어줄 통로가 되는 코드'를 사람이 일일이 짜야 하고, 무작위로 만든 입력은 복잡한 조건문을 뚫고 코드 깊숙한 곳까지 도달하기가 어렵거든요.

AI가 바꾼 게 바로 이 부분이에요. 대규모 언어 모델은 코드를 '읽을' 수 있어요. 그래서 이 함수가 어떤 형식의 입력을 기대하는지 이해하고, 그 형식을 아슬아슬하게 비켜가는 교묘한 테스트 케이스를 만들어내요. 사람이 짜던 퍼징 하네스도 AI가 자동으로 생성하고요. 무작위로 대포를 쏘던 시대에서, 설계도를 읽고 약한 곳을 조준하는 시대로 넘어간 셈이에요.

이미 실전 사례도 있었어요

이 흐름이 갑자기 나온 건 아니에요. 구글은 보안 연구팀 프로젝트 제로와 딥마인드가 함께 만든 'Big Sleep'이라는 AI 에이전트로, 세계에서 가장 널리 쓰이는 데이터베이스인 SQLite에서 실제 취약점을 찾아낸 적이 있어요. 공격자가 악용하기 전에 AI가 먼저 발견한 사례로 꼽히죠. 크롬에서 자주 나오는 버그 유형도 잠깐 설명드리면, 대표적인 게 use-after-free라는 메모리 버그예요. 이게 뭐냐면 프로그램이 이미 반납한 메모리를 다시 쓰는 버그인데, 공격자가 이 틈을 파고들면 브라우저 안에서 남의 코드를 실행시킬 수도 있어요. 브라우저 취약점의 단골손님이라 이런 걸 미리 잡는 게 정말 중요해요.

버그를 '출시 전에' 찾는다는 게 왜 중요하냐면, 제로데이 때문이에요. 제로데이는 패치가 나오기 전에 공격자가 먼저 알고 써먹는 취약점을 말하는데, AI가 내부에서 버그를 대량으로 미리 찾아낼수록 공격자가 쓸 수 있는 제로데이의 창이 좁아지는 거죠. 물론 AI가 사람 보안 연구자를 대체하는 그림은 아니에요. AI가 의심 지점을 대량으로 찾아오면 사람이 진짜 취약점인지 검증하고 수정하는 분업에 가까워요.

방어자만 AI를 쓰는 게 아니라는 점

업계 맥락에서 보면 이건 속도전이에요. 구글은 오픈소스 프로젝트에 무료로 제공하는 퍼징 인프라인 OSS-Fuzz에도 LLM을 접목해왔고, 미국 DARPA는 AI로 취약점을 찾고 자동으로 고치는 대회까지 열었어요. 문제는 공격자들도 같은 도구를 쓸 수 있다는 거예요. 결국 '같은 버그를 누가 먼저 찾느냐'의 경쟁이 되는 건데, 소스 코드에 마음껏 접근할 수 있는 방어자 쪽이 유리한 게임이긴 해요. 이번 발표는 그 유리함이 실제 숫자로 나타나기 시작했다는 걸 보여준 사례고요.

우리 프로젝트에도 적용할 수 있어요

한국 개발자 입장에서도 남의 얘기가 아니에요. 오픈소스 프로젝트를 운영하신다면 OSS-Fuzz에 신청해서 무료로 퍼징을 돌릴 수 있어요. 꼭 C나 C++이 아니어도, 외부 입력을 파싱하는 코드가 있다면 퍼징은 유효하고요. 파이썬이나 자바스크립트에도 퍼징 도구가 있어요. 더 가볍게는, AI 코딩 도구에게 코드 리뷰를 시킬 때 '보안 관점에서 이 입력 처리 코드를 봐줘'라고 명시적으로 요청하는 것만으로도 효과가 있어요. 경계값과 이상 입력에 대한 테스트를 AI로 생성해서 CI에 넣는 것도 오늘 당장 해볼 수 있는 일이고요.

정리하면, AI가 보안 버그 찾기의 생산성을 자릿수 단위로 끌어올리기 시작했다는 게 이번 발표의 핵심이에요. 여러분 팀은 보안 테스트를 어디까지 자동화하고 계신가요? AI한테 취약점 점검을 맡겨본 경험이 있다면 어땠는지 궁금해요.