앤트로픽 프런티어 레드팀은 10월 27일 보고서를 내고, 공개되지 않은 내부 Claude 연구 모델이 Chrome, Safari, Android, Windows, Linux에서 취약점을 찾아 실제로 작동하는 공격 체인 5개로 엮었다고 밝혔다. 모든 취약점은 조율된 공개 절차에 따라 벤더에 보고됐으며, 보고서가 나온 시점에는 모두 패치가 끝난 상태였다.
보고서에 따르면 각 사례에서 연구진이 준 것은 최초 프롬프트뿐이었고, 취약점을 찾아내고 익스플로잇 코드를 작성하는 작업의 대부분은 모델이 맡았다. 이 모델의 이름이 무엇인지, 출시될지는 보고서에 나와 있지 않다.
다섯 개의 체인이 노린 곳
Chrome(macOS, 한 번의 클릭으로 원격 실행): 모델은 먼저 V8 엔진의 힙 손상 취약점을 찾은 뒤 V8 메모리 샌드박스를 뚫고 주소 무작위화를 우회했다. 이어 CacheStorage의 경쟁 조건을 이용해 브라우저 프로세스 메모리를 읽었고, 마지막으로 FedCM의 use-after-free 취약점으로 샌드박스 밖에서 코드를 실행했다. 기본 설치 상태의 macOS에서 페이지를 불러오고 몇 초 뒤 계산기 앱이 떴다.
Safari(한 번의 클릭): JavaScriptCore의 use-after-free 취약점에서 출발해 Gigacage 격리를 우회하고, WebContent 샌드박스의 프로세스 간 통신 취약점을 이용해 방문 기록, 쿠키, 세션 데이터베이스를 읽은 뒤 동일 출처 정책을 해제했다. 이 체인은 임의 코드 실행이 필요 없다. 데이터를 읽는 것만으로 다른 사이트에 로그인된 메일이나 은행 페이지의 내용을 가져올 수 있다. 애플은 당일 확인하고 패치했다.
Android(잠금 화면 우회): 모델은 소스 코드 분석, Google Play 서비스 리버스 엔지니어링, Pixel 9 실기기 테스트를 결합해 USB 제한, 기기 간 전송 승인, 6자리 페어링 검증, 파일 내용 제한을 차례로 우회하고, 잠긴 휴대전화에서 사진 등 개인 데이터를 빼냈다. 구글은 조치를 마쳤다고 밝혔다.
Windows(원격 서비스 거부): Windows 커널의 QUIC 구현에 범위를 벗어난 읽기 취약점이 있어, 원격에서 패킷 몇 개만 보내면 기기가 충돌해 재부팅된다. 반복해서 보내면 서비스를 계속 끊어 놓을 수 있다. 보고서는 인터넷에서 영향을 받는 서버가 수백만 대에 이를 것으로 추정했다. 해당 CVE 번호는 CVE-2026-33096이며 마이크로소프트가 패치를 마쳤다.
Linux(제로클릭 원격 실행): 취약점은 Multipath TCP 리스너에 있으며, 경쟁 조건으로 인한 use-after-free다. 공격자는 자격 증명 없이 원격으로 커널 주소 무작위화를 우회한 뒤 제어 흐름을 가로채 root 권한으로 명령을 실행할 수 있다. 개념 증명에서 커널 포인터를 유출하는 데 약 48분이 걸렸고, 그 뒤 약 5분 만에 명령 실행에 성공했다. 패치는 업스트림에 반영됐고 유지 보수 중인 모든 안정 커널 브랜치에 백포트됐다.
Chrome에서만 CVE 62개
보고서에서 숫자가 가장 큰 쪽은 Chrome이다. 앤트로픽이 구글에 보고한 취약점에는 CVE 62개가 부여됐고 모두 위험도 '높음' 또는 '치명적'이었다. 이 가운데 13개는 샌드박스 탈출, 21개는 렌더러 프로세스 장악에 쓸 수 있는 것으로, 모두 Chrome 156에서 패치됐다. 보고서는 또 OpenBSD와 FreeBSD에서 로컬 권한 상승 취약점을 찾았고 샌드박스 탈출과 웹 애플리케이션 취약점도 여럿 있었다고 언급했지만, 하나하나 풀어 설명하지는 않았다.
"Frontier models have the ability to discover and combine multiple vulnerabilities into a working exploit."
(프런티어 모델은 여러 취약점을 찾아내 하나의 작동하는 익스플로잇으로 조합할 능력을 갖췄다.)
보고서는 총 소요 시간과 연산 비용을 밝히지 않았고, 구체적인 시간이 나오는 것은 Linux 체인뿐이다.
이전 레드팀 성과와의 비교
올해 앞서 공개된 사례와 나란히 놓으면 차이는 사람이 얼마나 개입했느냐에 있다. 외부 연구자들은 앞서 Claude Opus로 구버전 Chromium을 겨냥한 공격 체인을 만들었다. 공개된 기록상 약 일주일이 걸렸고, 전문가가 붙어서 안내한 시간이 20시간 안팎, 요청은 수천 건이었다. 이번 보고서가 강조하는 것은 '최초 프롬프트 이후에는 모델이 해냈다'는 점이며, 대상도 보호 기능을 끈 테스트 환경이 아니라 당시 최신 브라우저와 커널이었다.
같은 주에 구글이 내놓은 Gemini 4 Carbon도 취약점 발견, 검증, 패치 작성 벤치마크 점수를 앞세웠고, 첫 단계에서는 네트워크 방어 측에만 열었다. 앤트로픽 역시 이번 연구 모델을 공개하지 않았다. 일반에 공개된 Mythos 5.1 같은 모델은 사이버 보안 검증 프로그램을 통해 심사를 통과한 보안 실무자에게 제공된다.
방어 측을 위한 권고
보고서의 권고는 실무 쪽에 가깝다. 대규모 스캔에서 테스트 시점 연산량을 늘리고 다양한 스캐너를 쓰면 발견되는 취약점 수가 눈에 띄게 늘어난다. 기존 취약점을 정리하는 데서 그치지 않고 풀 리퀘스트 단계에서도 스캔해 새 취약점이 코드베이스에 들어오는 것을 줄여야 한다는 것이다. 앤트로픽은 이를 위해 Claude Code 플러그인을 공개했다.
"Our advice to defenders remains the same: scanning your own code is more important than ever."
(방어자에 대한 우리의 조언은 변함없다. 자기 코드를 스캔하는 일이 그 어느 때보다 중요하다.)
공개 절차상 벤더에는 90일의 수정 기간이 주어지고, 그 뒤 45일을 더 둔 다음에야 보안 권고 이외의 기술적 세부 사항을 논의한다. 이 절차대로라면 보고서에 적힌 것은 이미 수정이 끝난 부분뿐이다. 모델이 찾았지만 아직 수정되지 않은 취약점의 총수는 앤트로픽이 공개하지 않았다.
참고 출처: 앤트로픽 프런티어 레드팀 연구 보고서, IT하우스(ITHome), CocoLoop. 다섯 개 공격 체인이 다룬 시스템, Chrome CVE의 수와 분류, Linux 개념 증명 소요 시간을 확인했다.