연구기관 Epoch AI는 10월 30일 보고서를 내고, Zhipu AI(즈푸)가 8월에 오픈소스로 공개한 GLM 5.3이 실험에서 파이어폭스를 겨냥한 공격 프로그램을 스스로 작성했으며, 9월 17일부터 10월 26일 사이에 배포된 파이어폭스 정식판 6개가 모두 뚫렸다고 밝혔다.
공격 결과는 이렇다. 사용자가 파이어폭스로 악성 웹페이지를 열기만 하면 클릭 없이도 로컬 파일이 읽혀 공격자에게 전송된다. 모델이 활용한 취약점 단서는 Mozilla가 이미 공개했지만 아직 정식판에 반영되지 않은 보안 패치에서 나왔다.
패치 공백기는 어떻게 악용됐나
Epoch는 이런 공격을 "패치 공백기(patch gap)" 악용이라고 부른다. 오픈소스 프로젝트의 보안 패치가 공개 저장소에 커밋되는 순간 공격자는 변경 내용을 대조해 취약점의 위치를 역추적할 수 있는 반면, 일반 사용자의 정식판에는 한동안 수정이 도달하지 않는다.
실험은 자원이 제한적이고 실력이 평범한 공격자를 일부러 가정했고, 각 버전마다 모델에는 당시 입수할 수 있는 공개 정보만 주었다. 시도 한 번의 제한 시간은 최대 48시간이었으며 가장 빠른 성공은 약 12시간이 걸렸다. 한 사례에서는 모델이 메모리 취약점의 패치 기록으로 돌파구를 연 뒤 파이어폭스의 방어 장치가 파일 접근을 막자 이어지는 여러 단계를 스스로 엮어 냈다.
최근 버전에 대한 공격은 한 걸음 더 나아갔다. 모델이 패치 공백기 취약점 하나를 아직 공개되지 않은 다른 취약점과 연쇄해서 사용한 것이다. 후자는 10월 27일 배포된 파이어폭스 159.0에서 수정됐다. Epoch 보고서가 인용한 것은 Mozilla 보안 권고 mfsa2026-118이며 CVE 번호는 나와 있지 않다.
"We did not trigger any safeguards or refusals from any provider, including Z.ai, when using GLM 5.3 in this way."
(이런 방식으로 GLM 5.3을 사용했을 때 Zhipu AI를 포함한 어떤 서비스 제공자의 보호 장치나 거부도 작동하지 않았다.)
보고서에는 이에 대한 Zhipu AI의 입장이 언급돼 있지 않다.
파이어폭스와 크롬의 결과는 달랐다
같은 방법은 크롬에서는 통하지 않았다. Epoch는 크롬에도 약 10만 달러어치의 연산 자원을 썼다. 연구진은 이것을 크롬이 더 안전하다는 강력한 증거로 받아들여서는 안 된다고 특별히 당부했다. 더 나은 프롬프트나 더 강력한 오픈소스 모델을 쓰면 결과가 달라질 수 있기 때문이다.
비용 면에서 파이어폭스 연구는 총 10만 달러가 넘는 API 비용이 들었고, 대부분은 오프라인 테스트 환경 구축과 초기 시행착오에 쓰였다. 환경이 갖춰진 뒤에는 버전 하나를 공략하는 데 약 1,000달러가 들었다.
폐쇄형 모델과 비교하면 이번 건의 차이점은 모델 가중치가 공개돼 있다는 것이다. Anthropic의 Mythos도 앞서 취약점 발굴에 쓰인 바 있고, 보고서는 Mythos가 Windows 바이너리를 디컴파일해 패치 내용을 읽어 낼 수 있다고 언급한다. 그러나 폐쇄형 모델에는 서비스 제공자 측의 심사와 거부 장치라는 제동 수단이 있다. GLM 5.3의 가중치는 누구나 내려받아 로컬에서 돌릴 수 있어 서비스 제공자 차원의 보호가 미치지 못한다. 보고서는 또 Kimi K3.1 Pro의 가중치가 11월 초 공개될 것으로 예상되며, 초기 테스트에서는 이런 작업에서 GLM 5.3보다 강할 수 있는 것으로 나타났다고 전한다.
연구진의 권고와 한계
Epoch의 권고는 세 가지다. 보안 패치는 배포 준비가 끝나기 전까지 공개하지 말 것, 테스트 버전에서 정식판으로 반영하는 속도를 더 높일 것, 연쇄 악용이 가능한 여러 취약점을 한꺼번에 패치하지 말 것. 파이어폭스와 크롬은 현재 모두 매주 배포하는데, 연구진은 이 속도로도 부족할 수 있다고 본다.
이 보고서에는 분명한 한계도 있다. 모든 실험은 연구진이 직접 구축한 오프라인 모의 환경에서 이뤄졌고 실제 네트워크에서 사용자를 공격한 적은 없다. 성공률은 버전별로 집계했을 뿐 더 큰 표본의 분석은 없으며, 저자들도 오픈소스 모델이 사이버 공방의 판도를 어떻게 바꿀지에 대해서는 결론을 내리지 않겠다고 분명히 밝혔다. 오픈소스 모델이 폐쇄형 소프트웨어의 바이너리를 디컴파일해 패치를 읽어 낼 수 있는지는 이번에 시험하지 않았다.
참고 출처: Epoch AI 연구 보고서(영향받은 버전 범위, 시도당 소요 시간, API 비용 확인); CocoLoop; Mozilla 보안 권고(Firefox 159.0 수정 기록 확인).