Anthropic 레드팀, 미공개 모델로 Chrome·Safari 등 취약점 연쇄 악용 공개

Anthropic 프런티어 레드팀이 아직 공개하지 않은 내부 연구 모델로 브라우저와 운영체제 등 널리 쓰이는 소프트웨어에서 치명적 취약점을 찾아냈다고 2026년 10월 27일 밝혔다. 팀은 지난 몇 달간 이 모델로 작업했으며, 사용자 조작이 거의 없거나 전혀 없이 원격 코드 실행 등으로 이어지는 공격 사슬 다섯 건을 공개했다.

Anthropic은 취약점을 모두 해당 업체에 알렸다. 협조적 취약점 공개 방침에 따라 개발사는 패치에 90일을 갖고, 그 뒤 Anthropic이 공개 권고문에 담긴 내용 이상의 세부 사항을 논의하기까지 45일을 더 기다린다. 이 소프트웨어의 취약점은 수십억 명에게 영향을 줄 수 있으며, 가장 보안이 중요한 소프트웨어이기도 해서 모델의 취약점 연구와 사이버 능력을 가늠하는 지표가 된다고 회사는 설명했다.

공개된 공격 사슬 다섯 건

첫 사례는 Chrome의 원클릭 원격 코드 실행이다. 처음 프롬프트를 준 뒤 Claude가 공격 사슬 전체를 썼고, 공격자는 브라우저 샌드박스 밖에서 사용자 권한으로 임의 코드를 실행할 수 있다. 기본 설정의 macOS용 Chrome에서 페이지를 불러오고 몇 초 안에 계산기 앱이 실행되는 개념 증명을 만들었다.

사슬은 네 단계이고, 단계마다 쓰인 취약점은 모두 Claude가 찾았다. 먼저 자바스크립트 엔진 V8의 취약점으로 악성 웹 페이지가 힙 메모리를 손상시킨다. 두 번째 취약점으로는 V8의 메모리 영역 샌드박스를 벗어나고 ASLR을 무력화해 Chrome 코드가 메모리 어디에 있는지 파악했으며, 이어 ROP 체인으로 렌더러 프로세스를 완전히 장악했다. 장악한 렌더러는 Chrome의 프로세스 샌드박스에 갇혀 있었으나, CacheStorage의 경쟁 상태(race condition)로 샌드박스 밖 메모리를 읽어 권한 있는 브라우저 프로세스의 메모리 배치를 알아냈다. 마지막으로 연합 로그인 기능 FedCM의 use-after-free로 샌드박스 밖에서 임의 코드를 실행했다.

Anthropic이 Google에 보고한 결과 Chrome 156 기준으로 CVE 62개가 배정돼 패치됐고, 모두 심각도가 치명적이거나 높음이다. 이 가운데 샌드박스 탈출이 13개, 렌더러를 장악할 수 있는 취약점이 21개다.

둘째는 Safari의 원클릭 공격 사슬이다. 어떤 웹사이트의 자바스크립트든 동일 출처 정책(SOP)을 완전히 우회해 사용자의 방문 기록과 쿠키 같은 민감 정보에 접근하고, 다른 도메인에 인증된 HTTP 요청을 보내 응답을 읽을 수 있다. 사용자가 이메일에 로그인해 있으면 메일을 읽고, 은행에 로그인해 있으면 잔액을 보거나 이체를 시도할 수 있다.

Claude는 Safari의 JavaScriptCore에서 use-after-free를 찾았다. 일부 TypedArray 연산이 해제된 메모리를 가리키는 오래된 포인터로 값을 써 TypedArray 메타데이터를 덮어쓰는 문제였다. WebKit의 Gigacage는 TypedArray 데이터를 별도 메모리 영역에 격리해 이런 공격을 막지만, 그 영역의 일부 변수가 다른 영역을 가리키는 색인으로 쓰이는 점을 이용해 Gigacage 밖의 임의 읽기·쓰기 능력을 얻었다. 이어 WebContent 샌드박스의 IPC 메커니즘 취약점으로 디스크에 저장된 기록, 쿠키, 세션 데이터베이스를 읽었고, 마지막에 메모리 변수를 덮어써 SOP를 껐다.

이 사슬은 임의 코드 실행에 의존하지 않는 데이터 전용 공격이다. 브라우저 프로세스 메모리의 읽기·쓰기 권한으로 보안 플래그, 객체 크기, URL만 바꾼다. 약점 일부는 단독으로는 취약점이 아니라 의도된 동작이며, 결합했을 때 악용 가능해진다. Apple은 Anthropic이 보고를 제출한 당일 접수를 확인했고 수정을 신속히 적용했으며, 수정본은 사용자에게 배포됐다.

셋째는 Android 잠금 화면 우회다. 도난당한 Android 폰을 잠금 해제하지 않고 사진 등 개인 정보를 빼내는 공격이다. 오픈소스 부분의 소스 코드 분석, Google Play services 바이너리의 역공학과 난독화 해제, 실제 Google Pixel 9 기기 테스트를 함께 썼다. 여러 취약점 가운데 세 개를 엮어 최종 공격을 만들었다.

이 문제는 Google이 해결했다.

넷째는 Windows 원격 서비스 거부다. 윈도 기본 구현으로 HTTP/3 요청에 응답하는 모든 Windows 시스템을 원격에서 다운시킬 수 있는 공격이다. 어려움은 취약점을 처음 찾아내는 데 있었다. 원인은 Windows 커널의 QUIC 구현에 있는 메모리 안전성 문제(범위 밖 읽기)로, 네트워크로 접근할 수 있는 코드 경로에 패킷 몇 개만 보내면 기기가 크래시한 뒤 재시작된다. 반복하면 계속 다운시켜 모든 사용자의 접속을 막을 수 있으며, 인터넷에 이런 서버가 수백만 대 있을 것으로 회사는 추정했다. Anthropic은 이 취약점을 Microsoft에 직접 보고했고, Microsoft가 해결하면서 CVE-2026-33096이 배정됐다.

발견 방식은 바이너리 분석이었다. Windows 실행 파일을 모델에 주고 Ghidra 같은 기존 역공학 도구로 동작 방식을 파악하게 했다. 이어 관련 기능을 재현하는 주석 완비 C 프로그램을 쓰게 하고, 재현 프로그램과 바이너리의 동작을 비교해 정확성을 확인한 뒤 코드를 살펴 취약점을 찾게 했다. 위험도가 더 높은 문제를 찾아 달라고 요청하자 이 원격 악용 가능 취약점이 나왔다.

다섯째는 Linux의 제로클릭 원격 코드 실행이다. Anthropic은 Linux 커널 네트워킹 스택에서 원격으로 유발되는 제로클릭 임의 코드 실행 취약점을 여러 건 찾았고, 모두 업스트림에서 패치되고 공개됐다. 아래는 그중 한 예다. 멀티패스 TCP 리스너가 있는 Linux 서버에 패킷을 보내 자격 증명이나 사용자 조작 없이 root 권한으로 임의 명령을 실행하는 공격이다. 근본 원인은 커널 네트워킹 스택의 경쟁 상태로 생기는 use-after-free다. 1단계에서 KASLR을 원격으로 무력화한다. 경쟁 상태를 이용해 커널이 공격자가 정한 길이 값만큼 추가 바이트를 복사해 돌려보내게 하고, 응답에 커널 포인터가 한 번이라도 담기면 커널 주소 배치를 알게 된다.

2단계에서는 같은 취약점으로 버퍼를 넘치게 해 콜백 포인터를 덮어쓴다. 포인터가 가리키는 곳은 일반 프로토콜 기능으로 커널 메모리에 미리 올려 둔 페이로드다. 커널이 콜백을 호출하면 기존 커널 함수 호출이 이어지고, 마지막에 공격자가 고른 셸 명령이 root 권한으로 실행된다. 경쟁에서 지면 핸드셰이크만 실패할 뿐 시스템이 멈추지 않아 공격자는 성공할 때까지 무한히 재시도할 수 있다. 개념 증명에서는 커널 포인터를 얻는 데 48분, 셸 명령 실행까지 5분이 더 걸렸다. 이 취약점(CVE-2026-98432)은 업스트림에서 패치됐고 유지보수 중인 모든 안정 커널 브랜치에 백포트됐다.

이 글은 서드파티 제품에 초점을 맞췄지만 오픈소스 작업도 이어 가고 있다고 Anthropic은 밝혔다. OpenBSD, FreeBSD, Linux의 로컬 권한 상승 취약점, 널리 쓰이는 샌드박스 인프라의 샌드박스 탈출 여러 건, 주요 웹 애플리케이션의 다수 취약점도 찾았다.

탐색 방식과 방어자 지원

Anthropic은 작업에서 얻은 교훈 두 가지를 꼽았다. 첫째, 테스트 타임 컴퓨트를 늘리고 스캐너를 다양하게 쓸수록 발견하는 취약점 수가 크게 늘어난다. 팀은 스캔 에이전트를 대량으로 병렬 실행하고, 각 스캐너가 추가로 찾아내는 취약점 수로 성과를 재며, 코드베이스 전체가 처리되도록 커버리지를 동적으로 추적하는 플랫폼을 만들었다.

전략은 함수마다 취약점이 있는지 묻는 전면 탐색형부터, 앱이 고객 데이터를 위협할 만한 것을 노출하는지 묻는 목표형, 문서화된 위협 모델을 우회하는 부분이 있는지 묻는 위협 모델형까지 다양하다. 확인된 발견마다 Claude로 자동 변종 분석도 돌렸다. 모든 발견은 표준화된 검증·위험 등급 파이프라인을 거치므로 새 스캐너를 자유롭게 시험해도 품질 기준이 낮아지지 않는다고 회사는 설명했다.

둘째, 쌓인 취약점 목록을 고치는 일은 문제의 절반만 해결한다. 나머지 절반은 새 취약점이 코드에 들어오는 속도를 줄이는 것이며, Anthropic은 풀 리퀘스트 시점에 스캔하라고 권했다. 회사는 Claude Code 플러그인으로 보안 지침을 개발 과정에 넣었고 이를 공개했다.

Anthropic은 최전선 모델이 여러 취약점을 찾아 하나의 작동하는 공격으로 엮을 수 있다고 밝혔다. 이런 일은 그동안 해당 대상에 정통한 소수 전문 팀의 영역이었으나, 이제 모델이 사람의 개입을 거의 받지 않고 해내며 누구나 실행해 검증할 수 있는 실제 공격 코드로 입증한다는 것이다.

방어자가 공격자보다 먼저 시스템을 패치하려면 강력한 모델을 쓸 수 있어야 한다는 것이 Anthropic의 입장이다. 회사는 최근 사이버 검증 프로그램(Cyber Verification Program)을 확대했다. 자격을 갖춘 보안 전문가에게 고급 사이버 기능과 줄어든 차단 분류기를 제공하는 프로그램으로, Claude Opus 5.5, Claude Sonnet 5.5, Claude Mythos 5.1과 앞으로 나올 새 모델을 쓸 수 있다. 방어자에게 주는 조언은 자기 코드를 스캔하라는 것이다.