Epoch AI, 오픈 웨이트 GLM 5.3이 Firefox 패치 공백 악용했다고 보고

Epoch AI는 2026년 10월 29일 연구 결과를 발표하며, Z.ai가 2026년 8월 출시한 오픈 웨이트 모델 GLM 5.3이 보안 수정 사항이 공개된 뒤 사용자에게 적용되기까지의 기간인 브라우저 패치 공백을 악용해 최근 Mozilla Firefox 버전 6개를 버전당 약 1,000달러의 한계 비용으로 침해할 수 있다고 밝혔다. Epoch에 따르면 모델은 자율적으로 작동했으며, 공격 과정에서 공개되지 않은 취약점을 반복해서 재발견했다. 연구진은 이 취약점을 Mozilla에 공개했고, Mozilla는 2026년 10월 27일 출시한 Firefox 159.0에서 패치했다.

Epoch의 실험에서 GLM 5.3은 Firefox 사용자가 방문하면 추가적인 사용자 조작 없이 방문자의 컴퓨터에 있는 파일을 읽어 공격자에게 전송하는 웹페이지를 만들었다. 연구진은 2026년 9월 17일부터 10월 26일 사이에 출시된 Firefox 버전이라면 어느 것이든 각 버전 출시 당시 이용할 수 있었던 정보만으로 이런 방식의 침해가 가능하다는 사실을 확인했다. Epoch는 이 시연된 공격이 브라우저에 저장된 비밀번호를 읽고, 인증 쿠키를 탈취하거나, 그 밖의 비공개 정보를 열람하는 데 악용될 수 있어 매우 심각하다고 설명했으며, Firefox의 활성 사용자가 2억 명을 넘는다고 밝혔다.

보고서의 저자는 Epoch AI의 Aiden Ament, Yafah Edelman, Alexander Barry, Timothée Chauvin, Lee Bousfield, Jaeho Lee다.

실험 진행 방식

Epoch는 GLM 5.3에 Firefox 사용자가 방문할 때 로컬 파일을 읽는 웹페이지를 만들도록 요청했다. 실험 환경은 기본 보안 설정을 적용한 Ubuntu 26.04에서 공식 배포판 Firefox를 내려받아 실행하는 방식으로 구성했다. 모델에는 공격 대상인 Firefox의 구체적인 버전과 기본 도구가 제공됐지만 인터넷 접속은 허용되지 않았다. 대신 연구진은 공개적으로 이용할 수 있는 정보를 직접 제공하되, 각 대상 버전이 출시된 시점에 이용 가능했던 정보로 한정했다. Epoch는 최소한의 기술 경험과 표준 개발 도구를 갖춘 공격자가 모델에서 얻어낼 수 있는 결과를 가늠하도록 이 실험 환경을 설계했다고 밝혔다.

연구팀은 보안 실험이라는 과제를 제시하고 자사 API와 제3자 API를 통해 GLM 5.3에 접근했다. 연구팀에 따르면 모델의 행동은 실제 공격자의 행동과 구별하기 어려운 수준이었지만, Z.ai를 포함한 어떤 제공업체에서도 거부나 사용 제한이 없었다. 안정 버전에 아직 반영되지 않은 버그 수정 사항을 살펴보라는 기본 지침만 주어진 뒤에는 사람의 개입 없이 모델이 작동했다. 모델은 예정된 보안 수정 사항을 찾아 취약점을 선택하고 여러 단계로 이루어진 공격 경로를 스스로 구성했으며, 코드 변경 사항이 일반적인 개선 사항인 것처럼 보이도록 난독화됐는데도 어떤 변경이 보안 패치인지 판별했다.

결과와 비용, Mozilla에 대한 취약점 공개

GLM 5.3은 2026년 9월 17일부터 10월 26일 사이에 출시된 Firefox 버전 6개, 즉 156.0, 156.0.1, 157.0, 157.0.1, 158.0, 158.0.1을 대상으로 모두 공격에 성공했다. Epoch는 그보다 이전 버전은 체계적으로 시험하지 않았다. 각 대상에 모델을 최대 48시간까지 실행할 수 있도록 했으며, 가장 빠른 시도에도 12시간이 걸렸다. 연구진은 한 번의 시도에서 모델이 출시 예정인 Firefox 수정 사항을 이용해 메모리 안전성 결함을 찾아내고, 브라우저 내부의 메모리를 읽고 수정하는 방법을 개발한 뒤, 남은 보안 계층을 우회하는 추가 단계를 구성했다고 설명했다. 모델은 충돌 원인을 진단하고 실패한 접근법을 포기해 가며 공격을 이어갔고, 결국 웹페이지를 방문하는 것만으로 파일에 접근할 수 있게 됐다.

Epoch는 현실적인 오프라인 환경을 구축하고 예비 테스트를 진행하는 데 든 비용을 포함해 Firefox를 대상으로 한 전체 연구비가 API 사용료 기준 10만 달러를 넘었다고 밝혔다. 또한 테스트 도구를 개발한 뒤에는 API 요금 기준으로 새로운 Firefox 버전을 공격하는 데 약 1,000달러가 들었으며, 구독 계정을 이용하면 비용이 더 적게 들 수도 있다고 덧붙였다.

보고서에 따르면 공격에 성공할 때마다 취약점 두 개를 연계해 사용했다. 패치 공백 취약점으로 Firefox 웹 콘텐츠 프로세스 안에서 코드를 실행한 뒤, 모델이 시도할 때마다 재발견한 별도의 미공개 취약점을 이용해 샌드박스 보호를 우회했다. 이 보호 기능은 원래 침해된 렌더러 프로세스도 파일 시스템에 접근하지 못하도록 막는다. 연구진은 미공개 취약점을 Mozilla와 공유하고 공격을 완화할 방법을 논의했다고 밝혔다.

Mozilla는 2026년 10월 27일 Firefox 159.0을 출시했으며, Epoch에 따르면 이 버전은 공개된 취약점을 패치한다. 2026년 10월 27일 발표된 Mozilla Foundation 보안 권고 2026-118은 전체 영향을 ‘높음’으로 평가하고, Firefox 159에서 수정된 개별 취약점을 열거한다. 여기에는 영향도가 높은 샌드박스 탈출, 권한 상승, 해제 후 사용(use-after-free) 결함이 포함된다. Epoch는 패치가 적용된 Firefox 159.0에서 비슷한 공격이 성공할 수 있는지 확인하지는 못했지만, 패치 공백을 이용한 침해를 적어도 상당히 어렵게 만들 것으로 예상한다고 밝혔다. 파일 읽기에 성공한 뒤 연구팀은 임의 코드 실행도 시도했으나, 보고서 발표 시점까지 최근 Firefox 버전에서는 성공하지 못했다고 보고했다.

Chrome 공격 시도와 시사점

같은 테스트 하네스와 기법을 Google Chrome에 적용한 결과, Epoch는 API 비용으로 약 $100,000을 지출했지만 이에 상응하는 익스플로잇을 만들어 내지 못했다고 밝혔다. 다만 이 결과만으로는 더 정교한 유도 방식이나 성능이 더 뛰어난 오픈 웨이트 모델을 사용하면 이런 공격도 성공할 수 없다는 강력한 증거가 되지 않는다고 덧붙였다. 보고서는 Kimi K3.1 Pro가 2026년 10월 23일 자사 API를 통해 공개됐으며, 가중치는 2026년 11월 초 공개할 예정이라고 설명했다. 제한된 벤치마크 데이터는 Kimi K3.1 Pro가 공격형 사이버 작업에서 GLM 5.3보다 뛰어난 성능을 보일 가능성을 시사하지만, Kimi K3.1 Pro는 실험에 포함되지 않았다.

보고서는 2026년 9월의 패치 공백 악용 사례를 바탕으로 연구 결과를 설명하며, Chrome을 겨냥한 익스플로잇과 두 가지 중대한 취약점에 대한 패치의 공동 공개 시점보다 6시간 이상 앞서 패치된 PHP 빌드를 배포한 한 벤더의 사례를 언급했다. 또한 Anthropic이 Mythos 모델이 폐쇄형 소스 Windows에서 패치 공백을 악용했다고 시연한 사례도 들었다. 연구진은 위험을 줄이기 위한 방안으로 보안 수정 사항을 배포 준비가 끝날 때까지 비공개로 유지하고, 수정 사항을 베타에서 정식 버전으로 더 빠르게 배포하며, 여러 취약점을 연쇄적으로 엮어 악용할 수 있는 경우에는 동시에 패치하지 않는 방법을 제시했다. 보고서는 Firefox와 Google Chrome이 매주 업데이트를 배포하기 시작했다고 밝혔다.

부록에서는 실험에 적용한 안전 조치를 설명한다. Epoch의 다른 벤치마킹 인프라와 분리된 전용 클라우드 인스턴스를 사용하고, 모델의 네트워크 접근을 차단했으며, 거의 실시간으로 모니터링하면서 연구자들이 실행을 중단할 수 있도록 대기했다. 모니터링 과정에서 손상된 환경이 발견되어 에이전트가 샌드박스 밖에서 행동하게 된 뒤에는 모든 실행을 한 차례 중단했다. Epoch는 이 일과 관련해 네트워크 접근이나 악의적인 활동은 없었다고 밝혔다. Epoch는 이번 결과가 고급 사이버 역량의 확산을 보여주는 증거라고 평가했고, 다른 많은 소프트웨어 프로젝트도 이미 이와 유사한 패치 공백 공격에 취약할 가능성이 높다고 말했다. 또한 더 다양한 소프트웨어를 대상으로 한층 발전된 오픈 모델을 시험할 계획이라고 밝혔다.