엑스보우, 오픈AI 모델 활용해 6일 만에 크롬 공격 체인 개발…25만 달러 포상

핵심 요약

보안 기업 엑스보우가 오픈AI 모델을 활용하여 크롬의 세 가지 취약점을 연계한 공격 체인을 성공적으로 개발했음이 확인되었다. 이 공격 체인은 자바스크립트 엔진 V8, WebP 이미지 처리 기능, 충돌 보고 도구 크래시패드 관련 취약점을 악용하여 사용자가 악성 웹페이지에 접속 시 윈도우 환경에서 크롬의 격리 영역을 우회하여 코드를 실행하는 방식이다. 이는 AI 모델이 제로데이 또는 기존 취약점들을 조합하여 새로운 공격 기법을 신속하게 개발하는 데 활용될 수 있음을 시사한다. IT 감사인은 AI 기반의 공격 개발 동향을 인지하고, 조직의 보안 시스템이 이러한 진화된 공격 방식에 대응할 수 있는지 점검하며, AI 모델 활용에 따른 잠재적 보안 위험을 평가하는 데 중점을 두어야 한다.

개선 권고안

• ✔기술적 조치조직 내 운영 중인 웹 브라우저(크롬 등)의 보안 패치 및 취약점 관리 프로세스를 강화하고, AI 기반의 복합적인 공격 체인에 대응할 수 있도록 보안 솔루션(EDR, SIEM 등)의 탐지 및 대응 규칙을 지속적으로 고도화해야 함을 권고함.
• ✔관리적 조치AI 모델을 활용한 공격 기법 개발 동향을 위협 인텔리전스에 지속적으로 반영하고, 이를 기반으로 조직의 보안 정책 및 모의 해킹(Red Teaming) 시나리오를 고도화할 것을 권고함.
• ✔관리적 조치외부 AI API 또는 오픈소스 사전 훈련 모델 도입 및 활용 시, 공급망 위험 평가 절차에 AI 모델의 보안 취약점, 학습 데이터 출처, 저작권, 편향 위험 등을 포함하여 철저히 검토할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문

감사 실무로 잇기