공격 보안 업체 A 시큐리티가 8월 11일 줌 주석(annotation) 기능의 메모리 취약점을 공개하면서, 결함 발견부터 동작하는 공격 코드까지 '공개 AI 모델에 프롬프트 20개 미만으로 24시간 안에' 끝냈다고 밝혔어요. 다만 어떤 모델을 썼는지는 끝까지 안 밝혔고, 그 프롬프트 20개보다 먼저 라이브러리 70개·함수 3,762개를 위험도순으로 추려 두는 정적 분석 도구와 IDA·프리다(Frida) 추적 장치, 회의 테스트 환경을 사람이 만들어 뒀어요. 줌은 같은 날 게시판에서 이 결함을 CVE-2026-53413(높음, CVSS 8.3)·53414(보통, 6.5)로 매겼고, 수정판은 이미 6월 22일과 7월 20일에 나갔어요.
용어 풀이
- CVE
- 공개된 보안 취약점 하나하나에 매기는 국제 고유 번호
- CVSS
- 취약점 위험도를 0~10점으로 매기는 국제 표준 점수
- IDA
- 실행 파일을 사람이 읽을 수 있는 코드로 되돌려 분석하는 도구
- 프리다(Frida)
- 돌아가는 프로그램에 붙어 함수 호출을 실시간으로 들여다보는 도구
운영자 인사이트
'프롬프트 20개'는 20년 경력 취약점 연구자가 전용 도구로 후보 함수를 3,762개에서 좁혀 둔 뒤의 숫자예요 — 모델이 알아서 찾았다기보다 사람이 물어야 할 횟수가 줄어든 쪽이라, 이걸 따라 하고 싶다면 모델 고르기가 아니라 그 앞단 추림 도구부터 만들어야 해요.
여러 관점으로 보기
- 줌 공식 등급 줌은 같은 결함을 '치명적'이 아니라 높음 8.3·보통 6.5로 매겼고, 벡터에는 사용자 조작이 필요하다는 표시가 붙어 있어요. Zoom
- AI를 빼고 쓴 보도 시큐리티위크는 같은 날 이 패치를 다루면서 AI 얘기는 한 줄도 안 넣었고, 세 번째 결함은 줌이 이미 내부에서 알고 있었다고 적었어요. SecurityWeek
- 검증 없이 옮긴 보도 이시큐리티플래닛은 '공개 모델에 프롬프트 20개'를 그대로 실었는데, 모델 이름도 사람이 미리 만들어 둔 도구 얘기도 없어요. eSecurity Planet