최근 Anthropic의 Claude AI가 모질라와 협업해 파이어폭스에서 보안 취약점 100개 이상을 찾아냈다는 소식이 나왔습니다.1 "AI가 브라우저를 더 안전하게 만든다"는 이야기로 들리지만, 동시에 "공격도 더 쉬워지는 것 아니냐"는 질문을 함께 던지게 만드는 사건이기도 합니다.
Claude AI가 파이어폭스에서 찾아낸 것들(숫자로 보는 성과)
핵심은 '많이 찾았다'가 아니라 '어떤 방식으로, 어떤 수준의 버그를' 찾아냈느냐입니다. Anthropic은 Claude Opus 4.6를 활용해 2주 동안 파이어폭스 코드베이스를 분석했고, 그 결과 22개의 보안 취약점(CVE)과 추가로 90여 개의 버그를 보고했습니다.23 이 중 고위험(high severity)으로 분류된 항목이 14개나 됐고, 주요 수정 사항은 Firefox 148에 반영됐습니다.23
흥미로운 대목은 "파이어폭스가 쉬운 표적이라서"가 아니라는 점입니다. 파이어폭스는 오픈소스 중에서도 보안 점검과 테스트가 매우 빡센 프로젝트로 꼽히는데, 그런 코드에서 '새로운 종류의 실수 묶음(버그 클래스)'을 추가로 건져 올렸다는 게 포인트입니다.3
왜 기존 보안 도구(퍼징 등)로 못 잡은 버그가 나왔을까?
모질라의 설명을 읽어보면, AI가 단순히 크래시를 많이 내는 방식이 아니라 "논리적으로 이상한 길"을 더듬어가며 문제를 찾았다는 뉘앙스가 강합니다.3 전통적인 퍼징(fuzzing)은 랜덤·대량 입력으로 프로그램을 흔들어 크래시를 유도하는 데 강하지만, 모든 논리 오류를 같은 확률로 잡아내진 못합니다. 반면 Claude는 코드의 흐름을 읽고 "이 조건이면 이렇게 흘러가는데, 여기서 메모리가 꼬일 수 있겠다" 같은 추론형 탐색을 섞어버린 셈이죠.
또 하나 현실적인 차이는 '보고서 품질'입니다. AI가 던진 제보는 거짓 양성(false positive) 때문에 유지보수자를 지치게 만드는 경우가 많습니다. 그런데 이번 협업은 재현 가능한 최소 테스트 케이스를 함께 제공해 검증 부담을 줄였다고 모질라가 못 박았습니다.3 결국 AI 성능만큼이나 "유지보수자가 처리할 수 있는 형태로 포장했는가"가 성패를 갈랐습니다.
AI는 취약점 찾기엔 강하지만, '무기화'는 아직 서툴다
여기서 많은 분들이 가장 궁금해하는 지점이 나옵니다. "그럼 Claude가 익스플로잇도 뚝딱 만들 수 있어?" Anthropic 실험은 의외로 차분합니다. 취약점은 잘 찾는데, 실제 공격 코드(개념증명, PoC)로 만드는 데는 성공률이 낮았다는 결론이거든요. API 크레딧 약 4,000달러를 쓰며 여러 번 시도했지만, 익스플로잇까지 성공한 건 2건이었다고 합니다.2
다만 안심만 하긴 이릅니다. '2건'은 적은 숫자지만, "자동으로 익스플로잇이 만들어졌다"는 사실 자체가 방향성을 보여주기 때문입니다.4 쉽게 말해 지금은 숙련 해커의 보조 도구에 가깝지만, 내일은 기능이 더 다듬어질 수 있습니다. 방어자(보안팀)도 AI를 채택하지 않으면 속도전에서 밀릴 가능성이 커졌다는 뜻이죠.
시사점: 개발팀·보안팀이 지금 바로 챙길 실전 체크리스트
이번 사건을 한 문장으로 요약하면 "AI는 보안의 '가속 페달'이 됐다"입니다. 취약점 발굴 단가를 낮추고, 잘 포장된 리포트를 대량으로 만들 수 있다면, 공격자든 방어자든 더 빠르게 움직일 수밖에 없습니다.
실무적으로는 첫째, 오픈소스 프로젝트든 사내 서비스든 "AI 제보를 검증 가능한 형태로 받는 규격(최소 재현 코드, 환경, 기대/실제 결과)"을 먼저 정해야 합니다. AI가 찾아낸 버그의 가치는 '재현 가능성'에서 결정됩니다.
둘째, 퍼징·정적분석 같은 기존 툴을 버릴 필요는 없고, AI를 '겹겹이' 얹는 전략이 맞습니다. 퍼징이 잘 잡는 유형이 있고, AI가 잘 잡는 논리 오류가 따로 존재하니까요.3
셋째, 브라우저나 대형 코드베이스를 운영하는 조직이라면 "AI 레드팀/버그 헌팅 파트너십"을 진지하게 검토할 시점입니다. 이번처럼 책임 공개(responsible disclosure)와 수정 프로세스까지 묶이면, AI는 소음이 아니라 전력(戰力)이 됩니다.3
참고
1Anthropic's Claude AI uncovers over 100 security vulnerabilities in Firefox
2Anthropic's Claude found 22 vulnerabilities in Firefox over two weeks
3Hardening Firefox with Anthropic's Red Team
4Anthropic Finds 22 Firefox Vulnerabilities Using Claude Opus 4.6 AI Model
이 노트는 보도·비평·교육·연구 목적으로 작성되었습니다. 저작권 문의가 있으시면 에서 알려주세요.