크롬에서만 62건, Claude가 브라우저·운영체제 취약점을 찾아 공격까지 완성한 과정을 Anthropic이 공개했습니다 | DAKER 커뮤니티
Anthropic의 Frontier Red Team이 2026년 10월 27일 아직 공개하지 않은 내부 연구용 모델로 세계에서 가장 널리 쓰이는 소프트웨어의 심각한 취약점을 찾아 공격 과정을 공개했습니다. 대상은 크롬, 사파리, 안드로이드, 윈도, 리눅스처럼 수십억 명이 쓰는 제품입니다. 발표는 다섯 개의 공격 흐름을 자세히 설명하는데, 모두 사용자의 조작이 거의 또는 전혀 없이 원격으로 코드를 실행하는 데까지 이어졌습니다. 보안 담당자라면 모델의 취약점 탐색 능력이 어디까지 왔는지 가늠하는 참고점이 됩니다.
크롬에서 62건, 모두 심각·높음 등급
첫 사례는 맥OS 기본 설정 크롬에서 악성 페이지를 연 지 몇 초 만에 샌드박스 밖에서 임의 코드를 실행한 원클릭 공격입니다. 자바스크립트 엔진 V8의 힙 메모리를 망가뜨리는 취약점으로 시작해, V8 샌드박스를 벗어나 메모리 주소를 알아내고, CacheStorage의 경쟁 상태로 권한이 높은 브라우저 프로세스의 메모리 배치를 읽은 뒤, 연합 로그인 기능 FedCM의 해제 후 사용(use-after-free) 결함으로 샌드박스 밖 코드 실행을 완성했습니다. Anthropic은 구글에 보고했고, 크롬 156 기준으로 62개의 CVE가 할당·패치됐으며 모두 심각 또는 높음 등급이라고 밝혔습니다. 이 가운데 샌드박스 탈출이 13건, 렌더러를 장악할 수 있는 것이 21건입니다.
사파리는 코드 실행 없는 데이터 공격
사파리 사례는 어떤 웹사이트의 자바스크립트든 동일 출처 정책(SOP)을 완전히 무력화해 사용자의 방문 기록과 쿠키, 세션 데이터를 읽고 다른 도메인에 인증된 요청까지 보내는 공격입니다. 흥미로운 점은 임의 코드 실행에 전혀 기대지 않는 데이터 기반 공격이라는 것입니다.
일부 약점은 그 자체로는 취약점이 아니라 의도된 동작인데, 여러 개가 결합되면 악용할 수 있게 됩니다.
애플은 보고 당일 사실을 확인하고 신속하게 수정했으며, 수정본은 사용자에게 제공되고 있습니다.
안드로이드 잠금 해제, 윈도 원격 중단
세 번째 사례에서는 도난당한 안드로이드 폰을 잠금 해제하지 않고 사진 등 개인 정보를 빼내는 공격을 만들었습니다. 오픈소스 부분 분석과 구글 플레이 서비스 바이너리 역공학, 그리고 실제 픽셀 9 단말 시험을 결합해 USB 전송 제한, 기기 인증, 여섯 자리 코드 확인, 파일 내용 차단이라는 네 겹의 보호를 차례로 우회했습니다. 이 문제는 구글이 해결했습니다. 네 번째 사례는 윈도 커널의 HTTP/3(QUIC) 구현에서 발견한 메모리 범위를 벗어난 읽기 결함으로, 응답하는 서버에 패킷 몇 개만 보내도 기기를 재시작시켜 원격으로 서비스를 멈출 수 있었습니다. 인터넷에 이런 서버가 수백만 대 있을 것으로 추정되며, 마이크로소프트가 해결하고 CVE-2026-33096을 부여했습니다.
리눅스 제로클릭, 그리고 방어자에게 남는 숙제
다섯 번째 사례는 멀티패스 TCP를 켠 리눅스 서버에 자격 증명이나 사용자 조작 없이 패킷을 보내 루트 권한으로 명령을 실행하는 제로클릭 공격입니다. 커널 네트워킹 코드의 경쟁 상태로 생기는 해제 후 사용 결함이 원인으로, 시연에서는 커널 주소를 알아내는 데 48분, 셸 명령 실행까지 5분이 더 걸렸습니다. 이 취약점(CVE-2026-98432)은 상위 코드에 반영됐고 유지 중인 안정 커널 전반에 적용됐습니다. Anthropic은 각 취약점을 공급사에 보고하며 90일의 패치 기간과 추가 45일을 두는 조율된 공개 절차를 따랐다고 밝혔습니다. 또 취약점을 더 많이 찾으려면 추론 연산을 늘리고 스캐너 종류를 다양화하는 것이 효과적이며, 새 취약점이 쌓이지 않게 하려면 코드 변경(PR) 시점에 검사하라고 권했습니다. 이를 위한 보안 지침을 담은 Claude Code 플러그인을 공개했고, 보안 전문가용 사이버 검증 프로그램(Claude Opus 5.5, Sonnet 5.5, Mythos 5.1 등 접근)도 확대했습니다.
여러분 팀은 외부 라이브러리나 사내 서비스의 코드를 변경할 때, 어느 시점에 자동 취약점 검사를 걸고 있습니까?