^source^{https://blog.mozilla.org/en/firefox/ai-security-zero-day-vulnerabilities/}

Firefox 팀은 2월부터 frontier AI 모델로 브라우저 안의 잠재 보안 취약점을 찾고 수정하는 작업에 집중 중.
- 이전에는 Anthropic과 함께 Opus 4.6으로 Firefox를 스캔했고, Firefox 148에서 보안 민감 버그 22개를 수정.
Anthropic과의 협업을 이어가며 Claude Mythos Preview 초기 버전을 Firefox에 적용.
- 이번 주 Firefox 150 릴리스에는 초기 평가에서 발견된 취약점 271개 수정 포함.
이런 능력이 더 많은 방어자 손에 들어가면서, 다른 팀들도 처음 결과를 봤을 때 우리가 느꼈던 현기증을 겪는 중.
- 강화된 타깃에서 이런 버그 하나만 나와도 2025년 기준으로는 비상 경보급.
- 한꺼번에 너무 많이 나오면 따라잡는 것 자체가 가능한지 의심하게 됨.
현기증을 털고 바로 일에 들어가면 희망적인 결과가 보임.
- 다른 모든 일을 재조정해야 할 만큼 집요하고 단일한 집중이 필요할 수 있음.
- 그래도 터널 끝의 빛은 있고, 우리 팀은 이 도전에 맞춰 움직였으며 다른 팀도 그럴 수 있음.
- 작업은 아직 끝나지 않았지만, 단순히 따라잡는 수준을 넘어서는 미래가 보이기 시작.
- 방어자가 마침내 결정적으로 이길 기회를 얻음.
지금까지 업계의 보안 싸움은 대체로 무승부에 가까웠음.
- Firefox처럼 인터넷에 노출되는 핵심 소프트웨어 벤더는 보안을 매우 진지하게 다루고, 사용자 안전을 매일 고민하는 팀을 운영.
- 그래도 익스플로잇을 0으로 만드는 목표는 비현실적이라는 점을 오래전부터 조용히 인정해 왔음.
- 대신 익스플로잇 비용을 극도로 높여, 사실상 예산 제한이 없는 공격자만 감당할 수 있게 만드는 쪽을 목표로 삼음.
- 그렇게 비싼 자산을 한 번 쓰고 태워야 한다는 비용 부담이 공격자의 가벼운 사용을 막아주기를 기대.
지금까지 보안은 공격 우위 구조였음.
- 공격 표면은 무한하지 않지만, 기존 도구로 전면 방어하기에는 충분히 큼.
- 공격자는 갑옷의 틈 하나만 찾으면 되기 때문에 비대칭적 이점을 가짐.
우리는 다층 방어(defense-in-depth)로 겹치는 방어 계층을 여러 겹 적용하지만, 어떤 계층도 완벽하지 않음.
- Firefox는 각 웹사이트를 별도 프로세스 샌드박스에서 실행.
- 공격자는 렌더링 코드의 버그와 샌드박스 버그를 조합해 더 높은 권한 컨텍스트로 빠져나가려 함.
- 우리는 Rust 구축과 도입을 업계에서 앞서 이끌었지만, 수십 년치 C++ 코드를 모두 멈추고 다시 쓸 수는 없음.
- Rust도 매우 흔한 일부 취약점 유형만 완화할 뿐, 모든 문제를 없애지는 못함.
다층 방어 엔지니어링과 함께, 내부 red team은 자동 분석 기법의 최전선을 따라잡는 역할을 맡음.
- 최근까지는 fuzzing 같은 동적 분석 기법이 중심.
- fuzzing은 실제로 성과가 크지만, 코드의 일부 영역은 다른 영역보다 fuzzing이 어려워 커버리지가 고르지 않음.
뛰어난 보안 연구자들은 주로 소스 코드를 추론하며 fuzzer가 못 찾는 버그를 찾아냄.
- 이 방식은 효과적이지만 시간이 많이 들고, 희소한 인간 전문성에 병목이 걸림.
- 몇 달 전만 해도 컴퓨터는 이런 일을 전혀 하지 못했지만, 이제는 매우 잘함.
- 우리는 세계 최고 수준 보안 연구자들의 결과를 분석해 온 경험이 많고, Mythos Preview도 그만큼의 역량을 보임.
- 지금까지 인간이 찾을 수 있는데 이 모델이 찾지 못하는 취약점 범주나 복잡도는 보지 못함.
단기적으로는 무섭게 느껴질 수 있지만, 결국 방어자에게는 좋은 소식.
- 기계가 발견 가능한 버그와 인간이 발견 가능한 버그 사이의 격차는 공격자에게 유리했음.
- 공격자는 값비싼 인간 연구 수개월을 한 버그 발견에 집중할 수 있었기 때문.
- 이 격차가 닫히면 모든 발견 비용이 낮아지고, 공격자의 장기 우위가 약해짐.
고무적인 점은, 뛰어난 인간 연구자도 찾을 수 없었을 버그는 아직 보지 못했다는 것.
- 일부는 미래 AI 모델이 현재 이해를 벗어나는 완전히 새로운 형태의 취약점을 파낼 것이라고 예상하지만, 우리는 그렇게 보지 않음.
- Firefox 같은 소프트웨어는 인간이 정확성을 추론할 수 있도록 모듈형으로 설계됨.
- 복잡하긴 하지만, 임의로 끝없이 복잡한 구조는 아님.
결함의 수는 유한하고, 우리는 마침내 그것들을 전부 찾을 수 있는 세계로 들어가는 중.
- 개발 과정에 AI가 더 많이 들어오면 코드베이스가 인간 이해 범위를 넘어설 위험은 있음.
- 발견 능력과 함께, 혹은 그보다 빠르게 버그 복잡도가 커질 수 있음.
- 브라우저와 운영체제 같은 핵심 소프트웨어에서는 인간이 이해할 수 있는 구조를 유지하는 일이 필수.

앤트로픽 Claude Mythos로 271개의 파이어폭스 취약점을 패치: 제로데이의 숫자는 줄어들고 있다