구글 크롬(Chrome)이 인공지능(AI)을 활용해 보안 버그 처리 방식에 혁신을 가져왔습니다. 제미니(Gemini) 기반 AI 에이전트가 취약점 발견, 분류, 수정, 배포, 업데이트 적용 등 보안 버그의 전 생애 주기를 자동화하면서, 6월 한 달 동안 무려 1,072개의 보안 버그를 수정했습니다. 이는 이전 23개 마일스톤(약 2년)에서 수정된 버그 수를 합친 것보다 많은 수치로, AI가 보안 분야에서 얼마나 강력한 변화를 이끌어내고 있는지 보여줍니다.
크롬의 AI 기반 취약점 탐지 시스템은 여러 모델과 크롬의 CVE(Common Vulnerabilities and Exposures) 및 Git 이력 지식 기반, 그리고 보안 문서(SECURITY.md)를 결합하여 작동합니다. 이 시스템은 일반 인터넷 접근이 엄격히 제한된 환경에서 소스 코드만 분석하며, 오탐을 줄이고 탐지 효율을 높이는 데 초점을 맞춥니다. 특히, 자동 분류 기능은 스팸 및 중복 제거, 재현 가능성 확인, 심각도(severity) 등 메타데이터 추가, 담당자 배정 등을 수행하여 매달 수백 시간의 개발자 작업 시간을 절약하는 것으로 추산됩니다. 또한, AI는 취약점 수정 과정에서도 여러 후보 패치를 생성하고, 비평 에이전트가 이를 평가하며, 테스트 작성 에이전트가 검증하는 다중 에이전트 워크플로우를 통해 수정 시간을 단축합니다.
이러한 AI 기반 접근 방식은 단순히 버그를 더 많이, 더 빨리 잡는 것을 넘어, 사용자 보안을 근본적으로 강화하고 개발 효율성을 극대화하는 중요한 의미를 가집니다. 패치 격차(patch gap) 단축은 수정 코드가 공개된 후 공격자가 이를 악용하기까지의 시간을 줄여 N-day 공격 위험을 낮춥니다. 구글은 주 2회 보안 릴리스를 시험하고 동적 패치(dynamic patching)와 macOS 자동 재시작 기능을 개발하여 사용자가 브라우저를 재시작하지 않아도 업데이트가 적용되도록 해, 보안 업데이트 적용률을 높이고 사용자 불편을 최소화하고 있습니다.
장기적으로 크롬은 C++ 방어와 함께 메모리 안전 언어인 러스트(Rust)로의 전환을 추진하며 근본적인 보안 강화를 꾀하고 있습니다. 또한, 코드 제출 시점에 AI 검사를 도입하여 취약점이 코드베이스에 유입되기 전에 차단하고, 2,300개 이상의 외부 의존성(external dependencies)에 대한 자동 취약점 검사 파이프라인을 구축하여 오픈소스 생태계 전반의 보안을 강화하고 있습니다. 이러한 노력은 AI가 소프트웨어 개발 및 보안 분야에서 단순한 보조 도구를 넘어, 핵심적인 혁신 동력으로 자리매김하고 있음을 명확히 보여줍니다.