XBOW, 공개 OpenAI 모델로 6일 만에 Chrome 전체 체인 공격 구축

공개 OpenAI 모델로 6일 만에 25만 달러짜리 Chrome 전체 체인 공격 구축

• XBOW가 GPT-5.6 Sol 에이전트로 Chrome 미공개 버그 3개를 연결해 웹페이지 접속만으로 Windows 코드 실행 공격을 만들었다.
• 공격은 Chrome의 중첩 샌드박스 2개를 차례로 돌파해 클릭·다운로드 없이 브라우저 밖 Windows 환경에서 코드를 실행했다.
• XBOW는 2026년 8월 2~7일 6일간 약 4만 달러를 AI 비용으로 사용했고 Google은 최고 보상 25만 달러를 지급했다.
• 영향 대상은 Windows용 Google Chrome 사용자 약 10억 명이며, 수정 버전은 152.0.7977.65와 152.0.7977.82이고 관련 식별자는 CVE-2026-85045다.
• Google은 2026년 8월 25일과 9월 3일 수정본을 배포했으며 XBOW는 실제 Chrome 사용자 공격 사례가 없었다고 밝혔다.
• AI가 소스 분석·검증·초안 작성을 맡아 공격 개발을 수개월에서 6일로 줄인 만큼 한국 보안산업은 AI 취약점 대응 역량을 국가 경쟁력으로 전환해야 한다.

정책 담당자는 공공 PC의 Chrome 재시작과 버전 확인을 점검하고, AI 보안 연구에는 공격 자동화와 방어 검증을 함께 지원하는 체계를 마련해야 한다.

주요 용어: 전체 체인 공격(여러 취약점을 연결해 보호 계층을 모두 우회하는 공격), 샌드박스(프로그램을 시스템과 격리하는 보호 공간)

출처: The Hacker News