Anthropic은 지난 몇 달간 공개되지 않은 내부 연구용 모델로 브라우저와 운영체제 등 전 세계에서 널리 쓰이는 소프트웨어의 심각한 취약점을 찾아냈습니다. 이 글에서는 사용자 조작이 거의 없거나 전혀 없는 상태에서 원격 코드 실행 등 치명적인 결과로 이어진 공격 체인 다섯 가지를 자세히 소개합니다. 이 공격 체인은 모델이 오픈소스와 상용 소프트웨어 모두에서 여러 단계로 이루어진 정교한 익스플로잇을 만들어낼 수 있음을 보여줍니다. 이들 제품에서 취약점이 발견되면 수십억 명의 사용자가 영향을 받을 수 있습니다. 또한 세계에서 보안이 가장 중요한 소프트웨어에 속하기 때문에, 모델의 취약점 연구 능력과 사이버 역량을 가늠하는 지표이기도 합니다.
발견한 취약점은 모두 조율된 취약점 공개(coordinated vulnerability disclosure) 정책에 따라 해당 벤더에 보고했습니다. 이 정책에서는 개발사에 패치할 시간으로 90일을 주고, 공개 보안 권고문에 이미 담긴 내용 이상을 논의하기까지 45일을 더 기다립니다.
Claude는 처음 프롬프트를 받은 뒤 전체 익스플로잇 체인을 작성했습니다. 이 체인을 사용하면 공격자가 브라우저 샌드박스 밖에서 사용자 권한으로 임의의 코드를 실행할 수 있습니다. 개념 증명(PoC)에서는 macOS의 기본 설정 Chrome 브라우저에서 페이지를 불러오고 몇 초 안에, 추가 사용자 조작 없이 계산기 앱이 실행됩니다.
이 결과는 Google에 보고했으며, CVE 62건이 할당되었고 Chrome 156 기준으로 모두 패치되었습니다. 62건 모두 심각도가 치명적(critical) 또는 높음(high)으로 평가되었습니다. 이 중에는 샌드박스 탈출 13건과 렌더러 장악에 쓰일 수 있는 취약점 21건이 포함되어 있습니다.
Claude는 처음 프롬프트를 받은 뒤, 어떤 웹사이트의 JavaScript든 동일 출처 정책(SOP)을 완전히 우회할 수 있는 익스플로잇 체인을 작성했습니다. 이 익스플로잇은 사용자의 Safari 방문 기록, 쿠키 등 민감한 데이터에 접근할 수 있고, 다른 도메인에 인증된 HTTP 요청을 보내 응답까지 읽을 수 있습니다. 예를 들어 사용자가 이메일 계정에 로그인한 상태라면 공격자가 이메일을 읽을 수 있고, 은행 계정에 로그인한 상태라면 계좌 잔액을 확인하거나 이체를 시도할 수 있습니다.
Claude는 이를 위해 Safari에 내장된 여러 겹의 보호 장치를 차례로 뚫었습니다.
이 체인이 흥미로운 이유는 임의 코드 실행에 전혀 의존하지 않는 데이터 전용 공격이라는 점입니다. 대신 브라우저 프로세스 메모리에 대한 전체 읽기/쓰기 권한으로 보안 플래그, 객체 크기, URL을 수정합니다. 또한 일부 약점은 그 자체로는 취약점이 아니라 의도된 동작인데, 서로 결합하면 악용할 수 있게 됩니다.
Apple은 보고서를 제출한 당일 접수를 확인했고 곧바로 수정에 착수했습니다. 해당 수정 사항은 사용자에게 이미 배포되어 있습니다.
Claude는 처음 프롬프트를 받은 뒤, 도난당한 Android 폰의 잠금을 해제하지 않고도 사진과 기타 개인 정보를 빼낼 수 있는 익스플로잇을 작성했습니다. 이 작업에는 세 가지 방법을 함께 썼습니다. Android 오픈소스 부분의 소스 코드 분석, Google Play 서비스 바이너리의 리버스 엔지니어링과 난독화 해제, 실제 Google Pixel 9 기기에서의 라이브 테스트입니다. 그 결과 오픈소스와 비공개 구성 요소 양쪽에서 다양한 취약점이 나왔고, Claude는 이 중 세 가지를 엮어 최종 익스플로잇을 만들었습니다.
Android에는 이런 공격을 막는 보호 장치가 여러 겹 있습니다. Claude는 각각을 우회할 방법을 찾아냈습니다.
이 문제는 Google에서 해결했습니다.
Claude는 처음 프롬프트를 받은 뒤, Windows 기본 구현으로 HTTP/3 요청에 응답하는 모든 Windows 머신을 공격자가 원격으로 다운시킬 수 있는 익스플로잇을 작성했습니다. 이 사례에서 어려운 부분은 애초에 취약점을 찾아내는 일이었습니다. 이후 이 취약점을 Microsoft에 직접 보고했고, Microsoft는 문제를 해결하고 CVE-2026-33096을 할당했습니다.
Claude가 찾아낸 취약점은 Windows 커널의 QUIC 구현에 있는 메모리 안전성 문제인 범위 밖 읽기(out-of-bounds read)였습니다. 공격자는 네트워크를 통해 원격으로 취약한 코드 경로에 도달할 수 있고, 수신 대기 중인 서버에 패킷 몇 개만 보내면 머신을 크래시시켜 재시작시킬 수 있습니다. 이 요청을 반복해서 보내면 서버를 계속 다운시킬 수 있어, 모든 사용자가 서버에 접근하지 못하게 됩니다. 인터넷에서 수신 대기 중인 이런 서버는 수백만 대에 이를 것으로 추정합니다.
Claude는 바이너리 분석으로 이 취약점을 찾아냈습니다. 모델에 Windows 실행 파일 사본을 제공하고, Ghidra 같은 기존 리버스 엔지니어링 도구로 소프트웨어의 동작 방식을 분석하게 했습니다. 이어서 관련 기능을 재현하는 주석이 충분히 달린 C 프로그램을 작성하고, 재현한 프로그램과 바이너리의 동작을 비교해 정확성을 검증한 다음, 코드에서 취약점을 찾도록 했습니다. 위험도가 더 높을 수 있는 문제를 찾아 달라고 요청하자, Claude는 원격으로 익스플로잇할 수 있는 이 취약점을 찾아냈습니다.
이 글은 서드파티 제품을 중심으로 다루지만, 오픈소스 작업도 계속 진행해 왔습니다. Claude로 OpenBSD, FreeBSD, Linux에서 로컬 권한 상승 취약점을, 널리 쓰이는 샌드박싱 인프라에서 다수의 샌드박스 탈출을, 주요 웹 애플리케이션에서 수많은 취약점을 발견했습니다. Linux 커널 네트워킹 스택에서는 원격으로 트리거할 수 있는(제로클릭) 임의 코드 실행 취약점도 찾았으며, 이들은 이후 업스트림에서 패치되고 공개되었습니다. 그중 한 사례를 아래에서 자세히 설명합니다.
Claude는 처음 프롬프트를 받은 뒤, 원격 공격자가 멀티패스 TCP 리스너가 있는 Linux 서버에 패킷을 보내 자격 증명이나 사용자 조작 없이 root 권한으로 임의의 명령을 실행할 수 있는 익스플로잇을 작성했습니다. 근본 원인은 커널 네트워킹 스택에서 레이스 컨디션으로 인해 발생하는 UAF 버그입니다. 전체 익스플로잇은 두 가지 핵심 단계로 이루어집니다.
이 레이스 컨디션을 공략하기 쉬운 이유는, 레이스에서 져도 핸드셰이크만 실패할 뿐 시스템 전체가 크래시되지는 않기 때문입니다. 그래서 끈질긴 공격자는 성공할 때까지 무한정 재시도할 수 있습니다. 개념 증명에서는 커널 포인터를 유출하는 데 48분, 셸 명령 실행까지 도달하는 데 5분이 더 걸립니다. 이 취약점(CVE-2026-98432)은 업스트림에서 패치되었고, 유지 관리되는 모든 안정 커널 브랜치에도 백포트되었습니다.
Claude로 이번 보안 작업을 진행하는 동안 접근 방식을 다듬는 데 도움이 된 통찰이 여럿 있었습니다. 그중 특히 중요한 두 가지를 소개합니다.
테스트 시점 컴퓨팅 확장과 스캐너의 다양성은 발견하는 취약점 수를 크게 늘려 줍니다. 우리는 다수의 스캐닝 에이전트를 병렬로 실행하는 플랫폼을 구축했습니다. 이 플랫폼은 각 스캐너가 전체 조합에 추가로 기여하는 취약점 수를 기준으로 성능을 측정하고, 커버리지를 동적으로 추적해 스캐너가 코드베이스 전체를 처리하도록 합니다.
전략은 순수한 커버리지 기반(이 함수에 취약점이 있는가?)부터 목표 기반(이 앱에 고객 데이터를 위협할 만한 부분이 노출되어 있는가?), 위협 모델 기반(이 앱에 문서화된 위협 모델을 우회하는 부분이 있는가?)까지 다양합니다. 확인된 모든 발견에는 Claude로 자동화된 변종 분석도 수행했습니다. 모든 발견은 표준화된 검증 및 위험도 평가 파이프라인을 거치므로, 품질 기준을 낮추지 않고도 새로운 스캐너를 자유롭게 실험할 수 있습니다.
기존에 쌓인 취약점을 고치는 것만으로는 문제의 절반밖에 해결하지 못합니다. 나머지 절반은 새로운 취약점이 코드베이스에 유입되는 속도를 줄이는 일입니다. 이를 위해 PR 단계에서 스캔하기를 권장합니다. 우리는 Claude Code 플러그인으로 보안 가이드를 개발 프로세스에 직접 녹였고, 이 플러그인은 공개했습니다.
최첨단 모델은 여러 취약점을 찾아내 하나의 동작하는 익스플로잇으로 결합할 수 있습니다. 이런 능력은 지금까지 해당 대상에 전문성을 갖춘 소수의 전문 팀만 가진 영역이었습니다. 그러나 이제 모델이 사람의 개입을 거의 받지 않고도 이를 해내며, 누구나 실행해 검증할 수 있는 동작하는 익스플로잇을 만들어 증명까지 합니다.
강력한 모델을 방어자에게 제공하는 일은 공격자보다 먼저 시스템을 패치할 수 있게 해 주는 데 매우 중요합니다. Anthropic은 최근 Cyber Verification Program 확대 버전을 공개했습니다. 이 프로그램은 자격을 갖춘 보안 전문가에게 고급 사이버 역량과 완화된 차단 분류기를 제공합니다. 가장 뛰어난 모델인 Claude Opus 5.5, Claude Sonnet 5.5, Claude Mythos 5.1은 물론 앞으로 나올 새 모델도 이용할 수 있습니다. 방어자에게 드리는 조언은 변함이 없습니다. 자신의 코드를 스캔하는 일이 그 어느 때보다 중요합니다.
