엑스보우, 10억 명 위협한 크롬 대형 취약점 체인 발견으로 구글 포상금 수령

자율형 오펜시브 보안 기업 엑스보우(XBOW)는 자사 플랫폼이 구글 크롬 취약점 보상 프로그램(Chrome Vulnerability Reward Program)에서 25만달러의 포상금을 획득했다고 발표했다. 

이는 구글의 2026년 개정 규정 하에서 첫 번째 크롬 풀체인 포상금이자 자율형 오펜시브 보안 플랫폼에 수여된 최초의 포상금이다. 이번 성과는 엑스보우의 수십 년 오펜시브 보안 경험과 오픈AI(OpenAI)의 GPT-5.6 솔(GPT-5.6 Sol) 모델 역량을 결합한 결과다.

6일에 걸쳐 엑스보우의 AI 에이전트와 한 명의 보안 연구원은 합작하여 윈도우용 크롬의 보안망을 완전 우회하는 익스플로잇(exploit)을 구축하는 데 성공했다. 이 익스플로잇은 이전에 알려지지 않은 3개의 개별 버그를 하나로 연결해 브라우저의 가장 강력한 방어선인 크롬 보안 샌드박스 외부에서 코드를 실행했다. 이러한 권한을 확보하면 해커는 멀웨어, 랜섬웨어, 스파이웨어를 설치하거나 내부망 이동(lateral movement)을 위한 발판을 마련하고 자격 증명이나 파일을 탈취할 수 있게 된다. 이 모든 과정은 사용자가 별도로 파일이나 링크를 클릭하지 않고 웹사이트 접속만으로 실행된다.

보안 패치가 배포되기 전까지 이 결함은 전 세계 약 10억 명에 달하는 윈도우용 크롬 사용자들을 무방비로 위협에 노출시켰다.

오에허 더 무어(Oege de Moor) 엑스보우 창립자 겸 최고경영자(CEO)는 “이번 연구 결과는 인간의 독창성과 수십 년간 축적된 오펜시브 보안 노하우가 세계 최고 수준의 AI 모델과 결합했을 때의 파괴적인 속도와 가능성을 증명한다. 단독으로는 위험도가 낮은 개별 취약점이라도 연쇄적으로 결합하면 치명적인 고위험 익스플로잇 공격 경로가 될 수 있다”며 “단 한 명의 연구원이 예전 같으면 수개월이 걸렸을 익스플로잇 체인을 구축하는 데 약 4만달러의 컴퓨팅 비용과 단 6일밖에 소요되지 않았다. 실제 공격자들 역시 이러한 빠른 속도와 편의성을 악용하고 있는 만큼 방어자 역시 수많은 취약점 가운데 실제 악용 가능한 경로를 선제적으로 찾아내려면 이에 비견되는 속도를 갖춰야 한다”고 강조했다.

엑스보우는 발견된 모든 버그를 구글의 공식 프로그램을 통해 제보했으며, 구글 엔지니어들이 해당 익스플로잇을 재현하고 검증한 뒤 보안 패치를 정식 배포했다. 3개 버그 모두에 대한 근본 원인 분석 보고서가 공개 제공되며, 이 취약점들이 실제 크롬 사용자 공격에 악용된 사례는 없다. 엑스보우는 이번 포상금을 자사 기술을 이용해 비정부기구(NGO)를 보호하는 지속적인 사이버 보안 지원 사업에 활용할 예정이다.

클린트 기블러(Clint Gibler) 오픈AI 사이버 연구 책임자는 “우리의 목표는 더 많은 방어자들이 치명적인 취약점을 한발 앞서 찾고 수정할 수 있도록 돕는 것”이라며 “단 한 명의 엑스보우 연구원이 오픈AI의 AI 모델을 활용해 구글이 성공적으로 조치한 취약점 체인을 찾아냈다. 우리는 사용자들이 매일 이용하는 소프트웨어를 보호하기 위해 더 많은 보안 방어자들에게 이러한 최첨단 AI 기능을 제공하고자 연구원 및 업계 파트너들과 협력을 확대하고 있다”고 밝혔다

공격 작동 방식: 이 체인은 3단계에 걸쳐 2개의 샌드박스 경계를 넘었다.

· 크롬의 자바스크립트 엔진인 V8의 버그가 공격자에게 엔진 샌드박스 내부 메모리 제어권을 제공했다.

· 크롬의 애니메이션 WebP 이미지 디코더 버그(CVE-2026-85045)가 해당 샌드박스를 뚫고 나와 네이티브 메모리에 정밀한 단일 쓰기(write) 권한을 생성했다.

· 샌드박스 외부에서 독립 실행되는 크롬의 크래시 핸들러인 크래시패드(Crashpad)의 버그(CVE-2026-78952)가 이를 완전한 임의 코드 실행 권한으로 전환시켰다.

결과적으로 사용자가 웹 페이지를 로드하는 동작만으로 크롬 샌드박스 외부에서 프로그램이 즉시 실행됐다. 실제 해킹 공격이었다면 해당 프로그램은 공격자가 의도한 악성코드 무엇이든 될 수 있는 치명적인 상태였다.

엑스보우는 실제 공격자와 동일한 방식으로 악용 가능한 취약점을 찾아 입증하고, 이를 선제적으로 제보해 수정할 수 있도록 지원하는 자율형 오펜시브 보안 플랫폼을 제공한다.