파이어폭스, '미소스' 투입 한달 만에 보안 버그 271개 수정

모질라의 파이어폭스가 AI를 활용한 보안 강화에 나섰습니다. 최근 공개된 기술 보고서에 따르면, 모질라는 앤트로픽의 AI 모델인 '클로드 미소스'를 통해 무려 271개의 보안 취약점을 발견하고 수정했다고 밝혔습니다. 이 중 일부는 10년 이상 코드에 잠복해 있었던 고위험 버그들로, 파이어폭스의 보안 안정성을 크게 높이는 데 기여할 것으로 기대됩니다.

AI의 힘, 보안 취약점 찾아내다

모질라가 제출한 보고서에 따르면, AI 기술을 활용한 보안 취약점 탐지의 성과는 놀라운 결과를 가져왔습니다. 불과 몇 달 전까지만 해도 AI가 생성하는 보안 리포트는 신뢰성이 낮았지만, 최신 AI 모델과 새로운 분석 시스템의 도입으로 상황이 크게 변화했습니다. 실제로, 2023년 4월에는 423개의 취약점이 수정된 반면, 이전 해인 2022년 4월에는 31개의 버그만 수정된 바 있습니다.

특히 주목할 만한 것은 샌드박스 탈출(sandbox escape) 취약점과 같은 고난이도의 보안 이슈가 발견되었다는 점입니다. 샌드박스는 악성 코드가 시스템의 핵심 영역에 접근하지 못하도록 보호하는 구조인데, 이를 우회하는 것은 매우 복잡한 작업입니다. 모질라는 이러한 취약점을 발견하기 위해 AI 기반 분석 시스템을 도입하여, 실제로 취약점을 검증하고 확인하는 과정을 거쳤습니다.

새로운 분석 시스템의 도입

모질라는 기존의 정적 분석 방식에서 벗어나 AI 기반의 '에이전트형 하네스(agentic harness)' 구조를 채택했습니다. 초기에는 GPT-4와 같은 대형 언어 모델을 사용한 분석 실험이 있었지만, 높은 비율의 허위 양성(false positive)으로 인해 실용성이 떨어졌습니다. 이에 따라 모질라는 기존 퍼징(fuzzing) 인프라 위에 AI 분석 시스템을 구축하여 코드의 의심 지점을 지적하는 것에 그치지 않고, 실제로 재현 가능한 테스트 케이스를 생성하고 실행해 취약점을 검증하는 방법을 선택했습니다.

모질라는 클로드 오퍼스 기반의 소규모 실험을 시작으로 여러 가상 머신에 작업을 병렬 배치하여 취약점을 탐색했습니다. AI는 특정 코드 부분을 수정하고 공격 시나리오를 구성하여 실제 샌드박스 우회가 가능한지를 검증했습니다. 하지만 흥미롭게도, AI가 발견하지 못한 영역도 있었으며, 이는 기존 보안 강화 작업의 효과를 입증하는 사례로 평가받고 있습니다.

AI와 보안의 미래

AI가 보안 취약점을 찾아내는 데는 뛰어난 성능을 보였지만, 여전히 자동 수정 단계에는 이르지 못했다는 평가도 있습니다. 모질라는 AI가 패치 코드를 제안할 수는 있지만, 실제 배포 가능한 수준은 아니며, 여전히 인간 엔지니어의 검토가 필요하다고 설명합니다. 그러나 이러한 AI 기반 보안 자동화의 확산은 예상보다 빠르게 진행되고 있으며, 공격자들 또한 유사한 AI 기술을 사용할 가능성이 높아지고 있습니다.

브라이언 그린스테드 모질라 엔지니어는 AI가 방어자와 공격자 모두에게 유용한 도구가 될 것이라고 경고했습니다. 그는 "현재로서는 약간이나마 방어 측에 우위를 주는 방향으로 움직이고 있는 것으로 보인다"고 평가하며, AI와 보안의 미래에 대한 신중한 태도를 보였습니다. 모질라는 향후 AI 기반 보안 분석을 지속적 통합(CI) 시스템에 연결해 신규 코드가 저장소에 반영되는 즉시 자동으로 취약점을 탐지하는 체계를 구축할 계획입니다.

AI의 발전이 보안 분야에 가져오는 변화는 앞으로도 계속될 것입니다. 이를 통해 더욱 안전한 웹 환경이 조성될 것으로 기대되며, 보안 경쟁이 'AI 대 AI' 구조로 진화하는 시대가 도래할 것입니다.