앤트로픽, 2주 만에 파이어폭스 버그 100건 이상 발견

앤트로픽 프런티어 레드팀(Frontier Red Team)과 모질라가 AI를 활용한 취약성 탐지 분야에서 협력을 진행한 결과 클로드 오퍼스 4.6이 단 2주간 조사에서 파이어폭스와 관련해 112건에 이르는 보고서를 제출했으며 그 중 22건의 취약성이 확인됐다. 이번 성과는 AI가 대규모 코드베이스 안전성을 매우 빠른 속도로 검증하고 강화할 수 있는 가능성을 실증한 사례로 평가된다.

조사에서는 C++ 파일 6,000개를 대상으로 광범위한 스캔이 실시됐다. 그 중에서도 브라우저 중에서도 공격 표적이 되기 쉬운 자바스크립트 엔진에 초점을 맞춘 결과 조사 시작 20분 만에 메모리 안전성 문제인 유즈 애프터 프리(Use After Free)가 발견됐다. 이후 모델은 고유한 다수 크래시 입력을 특정했으며 앤트로픽 연구팀 수동 검증을 거쳐 모질라 버그 추적 시스템에 보고됐다.

조사 결과에 따르면 제출된 보고서 112건 중 22건에는 CVE가 부여된 취약성이 포함됐으며 그 중 14건은 모질라로부터 높은 심각도 판정을 받았다. 또 해당 14건 취약성은 2025년 한 해 동안 수정된 파이어폭스 고심각도 취약성 전체 중 20%에 해당하는 규모다.

모질라는 AI 지원 버그 보고에는 오탐이 많아 오픈소스 개발자에게 부담이 되는 경향이 있다는 일반 문제를 지적하면서도 이번 앤트로픽이 제공한 보고서에는 문제를 재현하기 위한 최소한의 테스트 케이스, 상세한 개념 증명(PoC), 그리고 수정안 패치가 함께 포함돼 있었다고 설명했다. 이를 통해 모질라 플랫폼 엔지니어는 수 시간 내에 수정 작업을 시작해 효율적으로 취약성을 해소할 수 있었다.

아울러 AI가 발견한 취약성을 스스로 악용하는 능력에 대한 검증도 이뤄졌다. 4,000달러 상당 API 크레딧을 사용해 수백 차례 테스트를 실시했지만 실제로 익스플로잇(exploit) 생성에 성공한 사례는 단 2건에 그쳤다. 생성된 코드 역시 최신 브라우저 보안 기능을 의도적으로 비활성화한 환경에서만 동작하는 수준에 머물렀다.

이 결과는 현재 AI가 취약성 발견 및 수정에는 뛰어난 반면 고도의 공격에 전용하기는 여전히 어려우며 현 시점에서는 방어 측이 우위에 있음을 시사한다.

앤트로픽과 모질라는 이번 성과를 바탕으로, AI 에이전트가 자신의 결과물을 검증하는 태스크 검증기(task validator) 활용 등 보안 향상을 위한 모범 사례를 공유하고 있다. 모질라는 이미 AI 분석을 내부 보안 워크플로에 통합하기 시작했으며 미지의 취약성을 공격자보다 먼저 파악하는 체계를 강화하고 있다. 향후에는 모델 능력 향상에 맞춰 방어 프로세스를 조정하면서 AI를 활용한 안전한 소프트웨어 개발을 추진해 나갈 방침이다. 관련 내용은 이곳에서 확인할 수 있다.