구글, AI 앞세운 크롬 보안 개편 발표

구글, AI 무장한 크롬 보안 대혁신…“한 달 동안 지난 2년보다 많은 버그 수정”

2026년 7월 30일, 구글이 발표한 대대적인 보안 업데이트는 크롬의 보안 체계가 AI를 중심으로 완전히 재편되고 있음을 보여줍니다. 'Stronger with every update: How we're making Chrome and the web safer in the AI Era'라는 제목의 이 발표에서 구글은 AI가 어떻게 크롬 보안을 근본적으로 변화시키고 있는지 상세히 공개했습니다 .

기록적인 버그 수정: 두 번의 릴리스에서 1,072건

크롬 149와 150 버전(2026년 6월 출시)에서 구글은 무려 1,072건의 보안 버그를 수정했습니다. 이는 이전 23개 주요 버전(약 2년)에서 수정한 1,036건보다 많은 수치입니다 . 크롬 역사상 단일 월간 기준으로 가장 높은 패치 볼륨을 기록한 셈입니다.

제미나이(Gemini) 기반 AI 도구의 역할

구글은 이 같은 기록적인 수정의 핵심 동력으로 내부 AI 모델, 특히 제미나이 기반 에이전트를 꼽았습니다 . 이 AI 도구들은 취약점 생애주기의 거의 모든 단계를 자동화했습니다:

• 발견: 크롬 코드베이스 전반에서 새로운 취약점 탐색
• 분류: 접수된 버그 보고서를 분석하고 우선순위 지정
• 패치 생성: 취약한 코드를 스스로 재작성
• 코드 리뷰: 병합 전 코드 변경 사항의 정확성 검토

2026년 초, 구글은 제미나이를 활용한 에이전트 하네스를 구축했으며, 기존 방식보다 "더 높은 효율성과 더 낮은 오탐률"로 취약점을 찾아냈습니다 . 또한 딥마인드는 7월 21일, 취약점 발견·검증·패치에 특화된 제미나이 3.5 플래시 사이버(Gemini 3.5 Flash Cyber) 모델을 출시했습니다 . 구글은 앞서 2025년 10월에도 취약한 코드를 자동으로 탐지·패치·재작성하는 AI 에이전트 **코드멘더(CodeMender)**를 선보인 바 있습니다 .

AI가 찾아낸 13년 묵은 샌드박스 탈출 취약점

가장 주목할 만한 사례 중 하나는 크롬 코드베이스에 13년 넘게 조용히 존재해 온 샌드박스 탈출 취약점입니다 . CVE-2026-15119로 식별된 이 버그는 GetUserMedia 구현 과정의 경쟁 조건(Race Condition)으로, 공격자가 손상된 렌더러 프로세스를 이용해 샌드박스를 탈출하고 브라우저가 로컬 파일을 읽도록 속일 수 있었습니다 . 구글은 제미나이 기반 AI 에이전트가 발견한 이 결함이 10년 넘게 모든 이전의 인간 코드 리뷰를 피해 왔다고 밝혔습니다 .

더 빨라진 보안 업데이트 주기

구글은 AI 기반 취약점 발견 속도에 대응하기 위해 크롬의 릴리스 주기를 대폭 단축한다고 발표했습니다:

• 주 2회 보안 패치: 주 1회였던 보안 업데이트를 주 2회로 늘리는 파일럿을 진행 중입니다. 이는 "AI 기반 공격"에 선제 대응하기 위한 조치입니다 .
• 2주 주요 릴리스 주기(크롬 153부터): 2026년 9월부터 기존 4주 주기에서 2주 주기로 전환됩니다. 크롬 153이 새로운 일정의 첫 번째 버전입니다 . 이 계획은 2026년 3월에 처음 발표되었습니다 .
• 확장 안정(Extended Stable) 채널은 8주 주기로 유지되어, 느린 롤아웃이 필요한 기업 환경을 지원합니다 .

동적 패치(Dynamic Patching) — 브라우저 재시작 없애기

구글은 잦은 업데이트가 브라우저 재시작을 필요로 하는 점이 사용자에게 큰 부담이 된다는 점을 인지하고 있습니다. 이에 따라 "동적 패치"(Dynamic Matching) 기술에 투자하고 있습니다. 이 기술은 백그라운드에서 실행 중인 자식 프로세스(렌더러, GPU 등)를 업데이트된 바이너리로 실시간 교체하여, 대부분의 경우 브라우저 전체를 재시작할 필요를 없애는 것을 목표로 합니다 . 현재는 투자 단계이며 아직 출시된 기능은 아닙니다.

크롬 151: 370개 수정 중 7개는 치명적(Critical)

2026년 7월 29일, 구글은 크롬 151 안정 버전(버전 151.0.7922.71/.72, 리눅스 151.0.7922.71)을 출시하며 370개의 보안 취약점을 수정했습니다 . 심각도별 분류는 다음과 같습니다:

심각도	건수
치명적(Critical)	7
높음(High)	71
중간(Medium)	170
낮음(Low)	122

7개의 치명적 취약점 중에는 컴포지팅(Compositing)의 사용 후 해제(Use-after-free, CVE-2026-17650) 오류, 데이터 검증 부족 문제, 기타 핵심 구성 요소의 메모리 손상 버그가 포함되었습니다 . 또한 크롬 151에서는 XSLT가 필요하지 않은 일반적인 시나리오에서 XML 파싱 엔진을 메모리 안전성이 보장된 러스트(Rust) 구현으로 전환했습니다 .

업계 전반의 흐름

이번 구글의 발표는 2026년 중반 전 세계 소프트웨어 보안 패치 환경이 전례 없는 규모에 도달했음을 보여주는 대표적인 사례입니다. 마이크로소프트의 역대급 패치 화요일, 애플 iOS 26.6의 방대한 보안 수정, 어도비의 크롬 익스텐션 패치, 오라클의 1,449개 7월 보안 패치 등도 같은 맥락에서 이해할 수 있습니다 . 크롬의 AI 기반 접근법은 이러한 흐름을 가장 극적으로 보여주는 사례라고 할 수 있습니다.