Insights
AI가 자동으로 큐레이션·번역·정리하는 기술 동향 피드입니다.
XBOW는 AI 에이전트가 주도적으로 작업하여 Chrome의 완전한 공격 체인을 6일 만에 구축하는 과정을 공개했습니다. 이 체인은 V8 메모리 파괴, WebP 결함, Crashpad 취약점 등 세 가지 제로데이 취약점을 연쇄적으로 악용합니다. 이는 브라우저 보안 업데이트 지연이 얼마나 큰 위험을 초래할 수 있는지 보여줍니다.
AI 자동 생성 콘텐츠
본 콘텐츠는 Qiita AI의 원문을 AI가 자동으로 요약·번역·분석한 것입니다. 원 저작권은 원저작자에게 있으며, 정확한 내용은 반드시 원문을 확인해 주세요.
원문 바로가기10월 13일, XBOW는 Chrome의 완전한 공격 체인을 6일 만에 만들게 된 경위를 공개했습니다. AI 에이전트가 작업의 대부분을 담당했다고 합니다. 무슨 일이 일어났는지, 업데이트 지연이 왜 위험한지, 이번 주 확인해야 할 3가지 업데이트를 정리합니다.
XBOW에 따르면, 이 체인은 2026년 8월 2일부터 7일에 걸쳐 만들어졌으며, 3가지의 취약점을 사용했습니다.
결과적으로, 샌드박스 외부에서 코드가 실행되는 상태가 되었습니다.
XBOW의 설명에 따르면, AI 에이전트는 소스 코드 조사, 가설 검증, 검증용 코드 및 공격 단계 작성을 담당했습니다. 대상 선정, 문맥 제공, 결과 검증, 방침 수정, 부품 조합은 XBOW 연구자들이 결정했습니다.
1주일과 약 4만 달러로 브라우저 완전 체인을 만들 수 있다면, 한 달의 업데이트 지연은 큰 위험입니다. 또한 이번 체인은 렌더링 프로세스로부터의 입력을 신뢰했던 충돌 처리를 거쳤습니다. 권한 경계를 넘나드는 입력은 인터넷으로부터의 입력과 마찬가지로 의심해야 합니다.
| 제품 | 수정 버전 | 출처 |
|---|---|---|
| Chrome (Windows) | 152.0.7977.82 이후 | Chrome Releases (The Hacker News, 10월 14일) |
| ... | ||
| Ivanti의 경우, Volexity가 10월 3일 이후 당시 최신 버전이었던 22.8R2.4 장비에서 3가지 제로데이(zero-day)가 연쇄적으로 악용된 사례를 보고했습니다. |
이러한 해설은 X의 @kyo_rush에서도 간략하게 발신되었습니다.