GLM-5.3, 브라우저 취약점 엮어 파일 읽는 공격 구현

GLM-5.3이 격리된 리눅스 실험에서 브라우저 취약점 여러 개를 연결해 이용자 파일을 읽는 공격을 구현했다. 실험 대상 브라우저는 공개되지 않았다.

앤스로픽(Anthropic)은 9월 29일 보고서에서 연구자가 인기 브라우저의 JavaScript 엔진에서 취약점 여러 개를 찾아 하나의 공격으로 연결했다고 밝혔다. 실험은 격리된 리눅스 환경에서 진행됐다.

연구자가 마련한 웹페이지를 방문하면 컴퓨터의 파일을 읽을 수 있는 방식이었다. 앤스로픽은 취약점을 소프트웨어 유지보수 담당자에게 알렸다고 밝혔지만, 브라우저 이름과 버전, 패치 여부는 공개하지 않았다.

앤스로픽의 ExploitBench 평가에서 GLM-5.3은 410회 시도 중 50회 완성형 익스플로잇을 만들었다. 같은 평가에서 Claude Mythos Preview는 56회 성공했다. 익스플로잇은 소프트웨어 취약점을 이용해 의도하지 않은 동작을 일으키는 코드나 방법이다.

ExploitBench는 Google Chrome에 쓰이는 V8 엔진의 이미 알려진 결함을 공격으로 발전시키는 능력을 측정한다. 새 취약점을 찾은 브라우저 실험과는 다른 평가이므로, 50회 성공을 Firefox 공격 성공 건수로 볼 수 없다.

모질라(Mozilla)는 9월 29일 Firefox 157과 여러 ESR 버전의 보안 공지를 게시했다. Firefox 157 보안 공지에는 GLM-5.3이 등장하지 않는다.

앤스로픽 보고서에도 Firefox나 모질라라는 이름이 없다. 두 발표가 같은 날 나왔다는 사실만으로 GLM-5.3의 취약점 발견이 해당 패치로 이어졌다고 판단할 근거는 제시되지 않았다.

모질라가 AI를 활용해 Firefox 취약점을 수정한 별도 사례는 있다. 모질라는 3월 6일 앤스로픽과의 공동 작업에서 Claude를 활용해 고위험 버그 14건을 발견하고 CVE 22건을 발급했으며, 관련 결함을 수정했다고 밝혔다.

중국 AI 기업 지스푸(Zhipu)는 8월 14일 GLM-5.3을 공개했고, 약 2주 뒤 모델 가중치를 배포했다. 공개 가중치 모델은 이용자가 내려받아 직접 실행하거나 수정할 수 있는 모델을 뜻한다.

미국 국립표준기술연구소(NIST) 산하 AI 표준·혁신센터(CAISI)는 9월 17일 GLM-5.3을 당시 공개된 가중치를 이용할 수 있는 AI 가운데 사이버 역량이 가장 높은 모델로 평가했다. 다만 여러 보안 평가를 합산한 역량은 미국 최첨단 모델 수준보다 약 4개월 뒤처졌다고 밝혔다.

CAISI의 종합 평가는 앤스로픽의 ExploitBench와 측정 방식이 다르다. 따라서 CAISI의 종합 평가와 V8 결함을 대상으로 한 410회 시도 결과는 같은 척도의 수치가 아니다.

앤스로픽은 유해 요청에 대한 자체 모의실험 결과도 공개했다. 허위 연구 맥락을 제시했을 때 GLM-5.3의 유해 요청 응답 비율은 64%였고, 모델의 추론 내용을 미리 채운 조건에서는 92%였다. 거부 기능을 제거한 변형 모델에서는 100%가 유해 요청에 응했다.

이 비율은 보고서가 정한 조건에서 유해 요청에 응한 결과다. 실제 공격 발생률이나 실제 환경에서 공격이 성공할 확률을 나타내는 수치는 아니다.

앤스로픽은 더 작은 모델인 GLM-5.3-Flash의 별도 실험도 공개했다. 이 모델은 이미 알려진 Chrome 취약점 두 개를 연결해 ARM64 익스플로잇을 만들었으며, 앤스로픽은 모델 작업 시간은 8시간, 연구자의 집중 작업 시간은 20분으로 집계했다.

앤스로픽은 해당 작업의 비용을 지스푸 API 요금 기준 20.40달러(약 2만7336원)로 추산했다. 이 결과는 이름이 공개되지 않은 브라우저의 새 취약점 실험이나 Firefox 보안 공지와는 별도 사례다.

본지는 앞서 GLM-5.3-Flash의 공개와 오픈소스 전환을 보도했다. 이번 보고서에는 새 취약점 실험, 이미 알려진 Chrome V8 결함 평가, GLM-5.3-Flash 실험이 각각 다른 조건으로 담겼다.