최근 웹GPU(WebGPU) 기술을 악용하여 맥(Mac) 컴퓨터를 완전히 멈추게 하는 새로운 공격 방식인 '데스레이(Deathray)'가 발견되었습니다. 사용자가 신뢰할 수 없는 웹사이트의 링크를 클릭하기만 해도 맥의 그래픽 처리 장치(GPU)가 과부하되어 데스크톱 UI(사용자 인터페이스)가 먹통이 되고, 결국 강제 재시작 외에는 방법이 없습니다. 이 문제는 크롬, 파이어폭스, 사파리 등 모든 주요 브라우저의 macOS 환경에서 재현되지만, 다른 운영체제에서는 탭만 멈추는 수준으로 나타납니다.
데스레이는 웹GPU의 셰이더(shader) 기능을 활용합니다. 웹GPU는 웹GL(WebGL)을 대체하는 차세대 웹 그래픽 API로, 웹사이트가 기기의 GPU에 직접 연산을 제출할 수 있게 합니다. 공격자는 이 웹GPU의 계산 셰이더(compute shader)에 무한 루프를 삽입하여 GPU 자원을 독점하게 만듭니다. 이로 인해 동일한 버퍼에 의존하는 다른 셰이더(vertex shader)들이 진행되지 못하고, 결국 윈도우서버(WindowServer)와 같은 운영체제의 핵심 그래픽 프로세스까지 응답 불능 상태에 빠집니다. 흥미롭게도 이 상태에서도 SSH 접속은 가능하여 컴퓨터 자체는 작동하지만, 그래픽 인터페이스가 마비되어 사용자는 아무것도 할 수 없게 됩니다.
이러한 GPU 오작동은 궁극적으로 커널 패닉(kernel panic)을 유발하여 시스템을 재시작하게 만듭니다. 과거 2023년에도 웹GL을 이용한 유사한 공격인 '쉐이디셰이더(ShadyShader)'가 발견되어 애플이 CVE-2023-40441 취약점으로 분류하고 패치한 전례가 있습니다. 당시 애플은 무한 루프를 감지하는 입력 유효성 검사를 강화했지만, 데스레이는 훨씬 간단한 무한 루프로도 작동하여 웹GPU에서는 이러한 방어 메커니즘이 약화되었음을 시사합니다. 애플은 이번 데스레이를 '보안 문제'가 아닌 '충돌, 멈춤, 복구 가능한 데이터 손실'로 규정하며 패치 우선순위가 낮다고 밝혀, 일반 사용자들의 보안 인식과는 큰 차이를 보이고 있습니다.
이번 데스레이 발견은 웹 기술의 발전과 함께 새로운 보안 위협이 언제든 등장할 수 있음을 보여줍니다. 특히 웹GPU처럼 GPU에 직접 접근하는 기술은 성능 향상과 더불어 잠재적인 시스템 마비 위험을 내포할 수 있습니다. 애플의 M-시리즈 칩 아키텍처가 GPU 제어를 보조 프로세서인 ASC(Apple System Controller)에 맡기는 방식이 이러한 문제 해결을 더 어렵게 만들 수 있다는 분석도 나옵니다. 사용자 입장에서는 신뢰할 수 없는 링크 클릭에 더욱 주의해야 하며, 웹 기술 개발자들은 브라우저와 운영체제 수준에서 무응답 셰이더에 대한 더 강력한 선점(pre-emption) 및 격리(isolation) 메커니즘을 마련해야 할 필요성을 제기합니다.