구글 크롬 보안팀이 인공지능(AI)을 활용해 소프트웨어 보안 취약점을 찾아내고 수정하는 방식에 혁신을 가져왔습니다. 2026년 3월 이후 크롬은 AI 기반 시스템 덕분에 지난 2년간 발견한 것보다 더 많은 보안 버그를 수정했으며, 이는 대규모 언어모델(LLM)이 인간의 한계를 뛰어넘어 자동화된 취약점 발견 능력을 제공하고 있음을 보여줍니다. 이로써 구글은 수백 개의 보안 버그를 전례 없는 속도로 찾아내고 해결하여 크롬의 복원력을 강화하고 있습니다.
구글은 수년간 LLM을 보안에 활용해왔습니다. 2023년에는 LLM을 퍼징(fuzzing) 커버리지와 성능 향상에 사용했고, 2024년에는 프로젝트 제로(Project Zero)와 협력하여 LLM에 특화된 취약점 연구 도구 '냅타임(Naptime)'을 개발했습니다. 2025년에는 딥마인드(DeepMind), 프로젝트 제로와 함께 AI 취약점 발견 에이전트 '빅 슬립(Big Sleep)'을 만들어 V8 자바스크립트 엔진과 그래픽 스택에서 버그를 성공적으로 찾아냈습니다. 2026년 초에는 제미나이(Gemini)를 활용한 에이전트 하네스(agent harness)를 구축하여 크롬 코드베이스 전반에서 높은 효율성과 낮은 오탐률로 취약점을 발견했으며, 13년 동안 숨어있던 샌드박스 탈출(sandbox escape) 버그를 찾아내기도 했습니다. 이 시스템은 오픈소스 및 독점 모델의 강점을 활용하고, 크롬의 과거 CVE 및 Git 기록을 포함한 지식 기반을 구축하며, 개발자가 보안 경계를 명확히 하는 'SECURITY.md' 파일을 추가하도록 장려하여 LLM의 추론 능력을 확장했습니다.
AI는 취약점 발견뿐만 아니라 보고된 버그를 검증하고 분류(triage)하며 수정하는 과정까지 자동화하는 데 사용됩니다. 과거에는 하나의 보안 보고서를 분류하는 데 5분에서 30분 이상이 걸렸고, 주로 인간 전문가의 경험에 의존했습니다. 이제 구글은 규칙 기반 시스템과 AI를 결합한 자동화된 분류 프로세스를 통해 처리량과 정확도를 높이고 있습니다. 이 과정은 스팸 필터링, 개념 증명(proof of concept)을 통한 버그 재현, 버그 도입 시점 및 심각도 등 필수 메타데이터 추가의 네 가지 단계로 이루어집니다. 이러한 AI 기반 접근 방식은 기존의 퍼징(fuzzing)과 같은 보안 테스트 인프라를 보완하며, 외부 연구자들의 크롬 취약점 보상 프로그램(VRP) 참여도 계속 장려하고 있습니다.
이러한 AI 기반 보안 강화는 소프트웨어 개발 및 유지보수 방식에 중요한 변화를 가져올 것입니다. AI가 복잡한 코드베이스 내에서 인간이 놓치기 쉬운 취약점을 신속하게 식별하고 분류함으로써, 개발팀은 보안 문제 해결에 드는 시간과 비용을 크게 절감할 수 있습니다. 이는 최종 사용자에게 더 안전하고 안정적인 소프트웨어를 제공하는 동시에, 개발자들이 핵심 기능 개발에 더 집중할 수 있도록 돕습니다. 앞으로 더 많은 기업들이 AI를 활용한 보안 시스템을 도입하여 소프트웨어 생태계 전반의 보안 수준이 향상될 것으로 기대됩니다.