구글 크롬 보안팀이 7월 30일 공식 블로그에서, 6월에 나온 크롬 149·150 두 버전에서만 보안 버그 1,072건을 고쳤고 이게 직전 23개 버전을 다 합친 것보다 많다고 밝혔어요. 제미나이 기반 탐색 에이전트와 빅 슬립(Big Sleep)·코드멘더(CodeMender)를 통합 빌드 검사(CI)에 넣어 24시간마다 모든 코드 변경을 훑게 했고, 스팸 걸러내기·재현·심각도 매기기·담당자 배정까지 자동으로 돌린 뒤 고침 에이전트와 이를 깎는 비평 에이전트를 짝지어 반복시킨다고 해요. 다만 1,072건 중 AI가 찾아낸 몫이 얼마인지, AI가 만든 고침 때문에 되돌린 건이 있는지는 글에 나오지 않아요.
용어 풀이
- CI
- 코드가 올라올 때마다 자동으로 빌드하고 검사를 돌리는 통합 장치
- VRP
- 취약점을 제보한 외부 연구자에게 포상금을 주는 구글의 신고 프로그램
운영자 인사이트
숫자 1,072건만으로 'AI 버그 사냥이 통한다'고 보긴 어려워요 — 되돌린 건수도, AI가 찾은 몫도 없으니까요. 대신 딸려 온 변화가 더 실질적이에요. 사내 AI가 너무 많이 찾아내 외부 제보가 중복이 돼 버리자 구글은 포상 프로그램(VRP) 기준을 '내부에서 못 찾는 것만'으로 바꿨고, 릴리스 주기도 2주로 당겼어요. 큰 코드베이스를 맡고 있다면 탐지량보다 쏟아지는 후보를 검증하고 내보내는 속도가 먼저 병목이 돼요.
여러 관점으로 보기
- 구글 공식 발표 크롬 149·150에서 보안 버그 1,072건을 고쳤고, 5월 한 달만 20건 넘는 취약점을 출시 전에 막았다고 해요. Google 보안 블로그
- 딸려 온 배포 방식 변경 고칠 게 쏟아지자 구글은 정식 릴리스를 2주 주기로 당기고 주간 보안 업데이트를 붙였으며, 주 2회 보안 릴리스도 시험 중이에요. BleepingComputer
- 해커뉴스 반론과 반박 (486댓글) '잘된 것만 세고 되돌린 건수와 새로 생긴 버그는 안 센다', '146 버전부터 버그가 급증한 게 검사가 좋아져서인지 버그를 더 많이 넣어서인지 설명이 없다'는 지적이 많았고, 반대로 '요즘 브라우저 공격은 버그 열 개를 엮어야 하니 하나만 막아도 사슬이 끊긴다'는 반박도 나왔어요. Hacker News