구글 크롬 ‘AI 버그헌팅’ 본격화…국가 SW 보안 기준 재편 촉발

구글 ‘AI 버그헌팅’ 본격 가동…브라우저 보안·소프트웨어 규제 지형 전환 촉발

• 구글이 크롬 131·132 두 버전에서 생성형 AI 도구 ‘Code Helper’와 ‘AI Powered Bug Reducer’를 활용해 메모리 안전성·데이터 경계 문제를 자동 분석·패치하며 1,072개 보안 취약점을 단기간에 제거했다고 밝힌 사건이다.
• 이번 체계는 크롬 개발자가 코드 리뷰·테스트 단계에서 AI가 취약 코드 패턴을 사전 탐지하고 수정 제안을 하는 방식으로 동작해 C++ 기반 브라우저의 버퍼 오버플로·Use-after-free 같은 고난도 취약점을 사람보다 빠르고 대량으로 찾아내는 개발-보안 융합 사례이다.
• 구글은 크롬 131에서 888건, 132에서 184건의 취약점을 AI 보조로 처리했다는 수치를 공개하며 전체 패치의 적지 않은 비율을 AI가 관여했다고 설명해 미국·EU가 추진 중인 SBOM·소프트웨어 책임제 논의 속에서 ‘AI 코드 검증’을 사실상 새로운 안전 기준으로 끌어올리는 계기를 만들고 있다.
• 글로벌 브라우저 1위 사업자가 개발 전주기에 AI 보안 도구를 상시 투입하는 체제로 전환한 것은 소프트웨어 공급망 안전성 책임을 ‘개발 프로세스’로 돌리는 흐름을 가속해 한국 정부의 SBOM 단계적 의무화, 공공 SW 사업 입찰 기준에 ‘AI 기반 취약점 자동점검’ 도입 같은 정책 옵션을 현실 의제로 끌어올리는 촉매가 된다.
• 한편 AI가 코드 패치를 제안하고 사람이 이를 신속 반영하는 구글식 운영 모델은 장기적으로 ‘AI가 만든 보안 코드가 또 다른 시스템 취약점이 될 수 있는지’에 대한 검증·감독 문제가 국가안보 이슈로 비화할 수 있어 한국은 N2SF·국가사이버안보전략 개정 시 AI 개발·보안 도구의 품질인증·감독체계를 명시해 디지털 주권과 국내 보안 산업 경쟁력을 동시에 확보하는 방향을 검토할 필요가 있다.

브라우저·OS·공공 SW 개발 단계에 AI 보안 도구를 의무적 또는 인센티브 방식으로 도입하는 규제·조달 정책을 서둘러 설계해, 국내 기업이 ‘AI 기반 안전 개발’을 수출 경쟁력으로 삼도록 산업·인증·인력 정책을 연동할 필요가 있다.

주요 용어: SBOM(소프트웨어 구성요소 목록으로 공급망 보안·책임 규제의 핵심 도구), N2SF(국가 망 보안체계로 망분리 대신 등급별 통제·신기술 보안을 설계하는 프레임워크)

출처: BleepingComputer