GLM 5.3이 패치가 사용자에게 도달하기 전에 자율적으로 Firefox 익스플로잇 체인을 구축했다는 보고
Epoch AI 연구진에 따르면 오픈 웨이트 모델 GLM 5.3이 자율적으로 Firefox 익스플로잇 체인을 구축해 브라우저와 소프트웨어 공급업체의 패치 공백 위험을 드러냈다.
The Decoder가 전한 Epoch AI 연구에 따르면, 한 오픈 웨이트 AI 모델이 사용자가 해당 보안 업데이트를 받기 전에 Firefox 6개 릴리스에 대해 작동하는 익스플로잇 체인을 구축한 것으로 알려졌다. 테스트는 유능한 모델이 수정 사항이 발견 가능해진 시점과 대부분의 사용자에게 패치가 전달되는 시점 사이의 짧은 기간에 공개된 코드 변경을 공격으로 바꿀 수 있음을 시사한다.
GLM 5.3은 연구진이 오프라인 환경에서 대상 Firefox 버전, 기본 도구, 공개 정보를 제공한 뒤 사람의 개입 없이 작동했다. 피해자가 특수 제작된 웹페이지를 불러오면 결과 공격이 로컬 파일을 읽을 수 있었던 것으로 전해졌다. Epoch AI는 Firefox 버전 테스트를 성공시키는 데 드는 API 비용을 각각 약 1,000달러로 추산했다.
이번 결과는 특정 브라우저를 넘어선다. 오픈 웨이트 모델이 공격자에게 대형 AI 공급업체의 승인이나 안전 통제 없이 취약점 조사와 익스플로잇 개발을 자동화할 수 있게 할 가능성을 보여준다.
Firefox 테스트와 증거
Epoch AI 연구진은 보안 ‘패치 공백’을 중심으로 실험을 설계했다. 이는 보안 수정 사항이 소스 코드나 기타 공개 자료에 보이지만 아직 사용자에게 전달되지 않은 기간을 뜻한다. Firefox는 보안 관련 변경을 일반적인 코드 개선 사항 사이에 숨기지만, 연구진은 GLM 5.3이 관련 수정 사항을 찾아 취약점 조사에 사용했다고 밝혔다.
모델은 이후 버그를 선택하고 익스플로잇 단계를 개발했으며 Firefox의 방어를 우회하려 했다. 한 사례에서는 메모리 안전성 결함을 찾아 브라우저 메모리와 상호작용하는 데 사용했고, Firefox가 대상 파일에 대한 직접 접근을 차단하자 추가 단계를 넣었다. 가장 빠른 성공 시도에는 12시간이 걸렸으며, 연구진은 각 실행에 최대 48시간을 허용했다.
보고서에 따르면 모델은 성공한 공격마다 독립적으로 이전에 알려지지 않은 추가 취약점을 재발견했다. 이 결함으로 익스플로잇 체인은 브라우저 샌드박스를 우회하고 컴퓨터의 파일에 접근할 수 있었다. Epoch AI는 문제를 Mozilla에 공개했고, Mozilla는 2026년 10월 27일 출시된 Firefox 159.0에서 이를 해결했다. 연구진은 동일한 기법이 해당 릴리스에 얼마나 효과적일지는 확인하지 못했다.
이 체인이 일반 사용자에게 배포됐다면 보고된 영향은 심각했을 것이다. 악성 웹페이지가 저장된 비밀번호, 인증 쿠키, 개인 문서에 접근했을 가능성이 있다. 다만 연구는 이러한 공격이 실제 환경에서 사용됐다고 주장하지 않는다. 보고서가 인용한 수치에 따르면 Firefox의 활성 사용자는 2억 명이 넘으므로 잠재적 노출 규모도 커진다.
증거가 보여주는 것과 보여주지 않는 것
가장 강한 성능 주장은 독립적인 공개 벤치마크나 확인된 범죄 캠페인이 아니라 The Decoder가 보도한 Epoch AI 연구 실험에서 나온 것이다. 실험은 연구진의 설정에서 GLM 5.3이 달성한 결과를 보여주지만, 모든 공격자가 같은 비용과 속도로 이를 재현할 수 있다는 뜻은 아니다.
연구진은 Chrome도 테스트했으며 약 10만 달러의 API 비용을 지출했지만 동등한 익스플로잇을 만들지는 못했다. 이 결과를 Chrome이 면역성을 가진다는 증거로 해석해서는 안 된다. Epoch AI는 다른 프롬프트, 도구 또는 더 유능한 모델이라면 결과가 달라질 수 있다고 경고했다. 이 테스트는 제한적인 벤치마크 정보에 근거해 연구진이 공격적 사이버 작업에서 더 강력할 수 있다고 언급한 Kimi K3.1 Pro와의 직접 비교도 제공하지 않는다.
거부가 발생하지 않았다는 점도 중요하지만 신중한 해석이 필요하다. Epoch AI는 Z.ai와 테스트한 다른 API 공급업체 모두 요청을 차단하거나 안전 가드레일을 작동시키지 않았다고 밝혔다. 연구진은 이 작업을 보안 실험으로 설명했지만, 설정이 실제 사용자에 대한 공격과 운영상 유사했다는 점도 인정했다. 공개 이후 공급업체 정책, 모델 버전, 접근 통제가 바뀔 수 있다.
이 사건은 GLM 5.3이 임의의 소프트웨어를 안정적으로 침해할 수 있다는 사실도 입증하지 않는다. 특정 대상과 릴리스 기간에 대한 반복 가능한 결과를 보여줄 뿐이다. 이 구분은 자율 코딩 또는 취약점 연구 시스템 도입을 평가하는 보안팀에게 중요하다.
Firefox를 넘어 패치 공백이 중요한 이유
구조적 약점은 Firefox 자체가 아니라 공개와 배포의 시점에 있다. 패치가 어떤 코드가 변경됐는지 드러내면 공격자는 근본 결함을 추론할 수 있는 경우가 많다. AI 시스템은 리비전 비교, 가설 테스트, 개념증명 코드 작성, 별개의 약점 연결을 통해 이 과정을 가속할 수 있다.
Epoch AI는 브라우저, 모바일 운영체제, 라우터 펌웨어 및 기타 소프트웨어에도 비슷한 노출이 존재한다고 밝혔다. 오픈소스 프로젝트는 소스 코드 검사를 쉽게 만들지만, 폐쇄형 제품이 자동으로 보호되는 것은 아니다. 연구진은 소스 코드에 접근하지 않고 Windows 패치 공백을 악용한 것으로 알려진 Anthropic의 Claude Mythos 관련 선행 연구와, 컴파일된 소프트웨어를 디컴파일하는 모델 능력의 향상을 지적했다.
업데이트 주기가 느린 제품이 가장 큰 위험에 직면할 수 있다. 라우터 펌웨어와 모바일 운영체제 사용자는 장기간 패치되지 않은 상태로 남을 수 있고, 기업용 소프트웨어는 예정된 유지보수 시간에만 업데이트될 수 있다. 수동으로는 악용하기 어려운 취약점도 패치 공개 후 AI 시스템이 지속적이고 저렴하게 작업할 수 있다면 더 매력적인 표적이 될 수 있다.
보고서는 조정된 공개에 대해서도 의문을 제기한다. 수정 사항 공개는 방어자에게 필요하지만, 패치가 널리 설치되기 전에 상세한 코드 변경을 공개하면 공격자에게 지도를 제공할 수 있다. Firefox와 Chrome은 주간 업데이트로 이동했지만, 사용자가 거의 재시작하지 않는 장치나 공급업체가 더 이상 적극적으로 유지보수하지 않는 제품에서는 업데이트 속도만으로 문제를 해결할 수 없다.
개발자와 기업에 대한 시사점
AI 제품팀은 자율 사이버 역량을 모델 품질만의 문제가 아니라 배포와 접근 통제의 문제로 다뤄야 한다. 저장소를 검사하고 코드를 실행하며 외부 서비스를 조회할 수 있는 시스템은 격리하고, 로그를 남기며, 요청 속도를 제한해야 한다. 일반 코딩 도우미도 적절한 대상과 도구, 시간 예산이 주어지면 취약점 연구 도구가 될 수 있다.
소프트웨어 공급업체는 패치 공개와 광범위한 제공을 조정하고, 사전 릴리스 변경 사항에 포함되는 불필요한 세부 정보를 줄이며, 여러 수정 사항이 연결될 수 있는지 검토해 노출을 줄일 수 있다. 이러한 조치에는 상충 관계가 있다. 방어자는 수정 사항을 검증할 충분한 정보가 필요하지만, 변경 사항이 공개 저장소에 들어가면 비밀을 유지하기가 더 어려워진다.
기업 구매자는 패치가 지원 버전에 얼마나 빨리 도달하는지, 업데이트가 자동인지, 취약점 공개 후 장치가 얼마나 오래 노출되는지를 공급업체에 물어야 한다. 보안팀은 패치 적용 기간의 우선순위를 정할 때 AI 지원 익스플로잇의 비용도 모델링해야 한다. Firefox 시도당 1,000달러라는 보고 수치는 보편적인 가격은 아니지만, 자원이 제한된 집단에도 익스플로잇 개발이 감당 가능한 일이 될 수 있음을 보여준다.
AI 공급업체 입장에서 이 사례는 거부에만 의존하는 것의 한계를 보여준다. 오픈 웨이트 모델은 다운로드해 중앙 게이트키퍼의 통제 밖에서 실행할 수 있다. 호스팅 시스템에서는 공급업체 측 모니터링이 여전히 중요하지만, 방어자에게는 네트워크 통제, 샌드박싱, 신속한 패치, 익스플로잇 개발 활동 탐지도 필요하다.
다음에 지켜볼 것
첫 번째 신호는 독립 연구자들이 Firefox 159.0을 포함한 이후 릴리스에서 Firefox 결과를 재현할 수 있는지, 그리고 Mozilla가 테스트 환경 밖의 악용 증거를 보고하는지 여부다. 두 번째는 다른 팀들이 Chrome, 모바일 운영체제 또는 라우터 펌웨어를 상대로 비슷한 패치 공백 공격을 시연하는지 여부다.
모델 평가도 정적인 사이버 벤치마크를 넘어야 한다. 유용한 측정에는 익스플로잇까지 걸린 시간, 인간 개입, 필요한 도구, 총비용, 버전 간 신뢰성, 취약점 연결 능력이 포함되어야 한다. Kimi K3.1 Pro 또는 최신 오픈 웨이트 모델에 관한 결과는 GLM 5.3이 고립된 능력인지 더 광범위한 추세의 일부인지 판단하는 데 도움이 될 것이다.
마지막으로 공급업체와 AI 연구소는 공개 이후 접근 정책, 릴리스 관행 또는 안전장치를 바꿀 수 있다. 이러한 변화는 업계가 주로 모델을 제한하는 방식으로 대응하는지, 아니면 공개된 수정 사항이 사용자 보호보다 앞서는 기간을 줄이는 방식으로 대응하는지를 보여줄 것이다.
Creati.ai의 관점
중요한 소식은 GLM 5.3이 Firefox 익스플로잇을 찾았다는 단순한 사실이 아니다. 오픈 웨이트 시스템이 일반적인 패치 활동을 통해 제공된 정보를 사용해 현실적인 시간과 비용 범위 안에서 다단계 보안 작업을 완료했다는 점이다. 이는 모델이 익스플로잇 코드를 작성할 수 있는지에서, 일상적인 소프트웨어 유지보수를 얼마나 빠르게 운영 위험으로 바꿀 수 있는지로 관심을 이동시킨다.
개발자와 기업 구매자에게 실질적인 교훈은 AI 시스템을 시스템을 둘러싼 환경 및 권한과 함께 평가해야 한다는 것이다. 더 빠른 패치 배포, 통제된 도구 접근, 측정 가능한 안전장치는 모델 역량만큼 중요해질 것이다. Firefox 사례는 여전히 연구 결과이며 광범위한 악용의 증거는 아니지만, 패치 공백이 자동화 문제로 변하고 있다는 신뢰할 만한 경고다.
