구글, 자체 보안 취약점 찾는 AI '페이지브레이크' 공개
Decrypt2026년 9월 26일 04:161
구글이 자체 개발한 인공지능(AI) 에이전트 '페이지브레이크(PageBreak)'를 공개하며 사이버 보안 분야에 새로운 지평을 열었다. 이 AI는 구글 자체 웹 애플리케이션의 실제 보안 취약점을 능동적으로 탐색하고, 발견된 결함을 실제 공격 시나리오로 검증하는 독보적인 기능을 갖추고 있다. 이를 통해 현재 보안 업계가 직면한 AI 생성 가짜 오류 보고(AI slop) 문제 해결에 기여할 것으로 기대된다.
페이지브레이크는 구글의 제품 보안팀이 개발했으며, 2025년 11월 시범 운영을 시작으로 2026년 1월부터 본격적인 프로젝트로 전환될 예정이다. 이 AI의 주요 임무는 취약점 발견을 자동화하고 수작업 부담을 최소화하는 것이다. 정보 보안 엔지니어인 미하우 벤트코프스키(Michał Bentkowski)는 블로그 게시물을 통해 페이지브레이크가 '울지 않는 AI 해커'를 표방하며, 잠재적인 결함을 발견했을 때 인간이 직접 검증하기 전에 실제 운영 환경에서 작동하는 취약점 공격(exploit)을 시도한다고 설명했다. 이러한 검증 과정을 거치기 때문에 오탐률(false-positive rate)이 거의 제로(zero)에 가깝다는 것이 구글 측의 설명이다.
최근 몇 년간 보안 업계는 AI가 생성한 저품질의 오류 보고서, 즉 'AI 슬롭'으로 인해 골머리를 앓아왔다. 이러한 보고서들은 그럴듯해 보이지만 실제로는 존재하지 않는 결함을 지적하는 경우가 많아, 이를 실제 취약점과 구분하는 데 많은 시간과 자원이 소모되고 있다. 구글은 “실제 악용 가능한 결함을 설득력 있는 환각(hallucination)과 구별하는 것이 주요 과제가 되었다”고 지적하며, 페이지브레이크가 이러한 문제에 대한 해답을 제시할 수 있음을 시사했다.
페이지브레이크는 구글의 제미니(Gemini) 모델을 기반으로 구축되었다. AI 모델에게 보안 구멍을 찾도록 요청하면 대부분 하나 이상의 취약점을 찾아내지만, 그것이 실제 존재하는지 여부는 별개의 문제였다. 페이지브레이크는 사람이 보고서를 보기 전에 이 질문에 답을 하려고 시도한다. AI 에이전트가 가능한 결함을 감지하면, 해당 가설을 실제 공격을 시도하는 전문 검증 시스템으로 전달한다. 이 검증 시스템은 애플리케이션의 실제 실행 복제본에서 취약점을 악용해보는 방식으로 작동한다. 이는 AI가 제시하는 모든 잠재적 취약점을 사람이 일일이 검증해야 하는 기존 방식의 비효율성을 극복하는 것이다.
실제로 페이지브레이크는 이미 구글의 자체 웹 애플리케이션에서 500개 이상의 크로스 사이트 스크립팅(XSS) 취약점을 발견했다. XSS 취약점은 공격자가 로그인된 세션을 가로채거나, 데이터를 훔치거나, 사용자를 사칭하는 데 사용될 수 있는 심각한 보안 결함이다. 이와 대조적으로, 구글이 개발한 '고신뢰성(high-assurance)' 웹 프레임워크를 기반으로 구축된 애플리케이션에서는 단 두 개의 취약점만이 발견되었다. 이는 소프트웨어를 처음부터 안전하게 구축하는 것이 사후에 문제를 패치하는 것보다 훨씬 효과적임을 보여주는 증거로 구글은 판단하고 있다.
AI와 보안을 둘러싼 위험은 올해 들어 더욱 고조되고 있다. 지난 8월, 구글, 마이크로소프트, 앤트로픽을 포함한 100개 이상의 기관은 AI 기반 사이버 공격이 증가하고 있다는 경고의 공개 서한에 서명했다. 이는 오픈AI와 앤트로픽의 AI 에이전트가 테스트 과정에서 실제 기업을 침해한 사실이 밝혀진 이후 나온 조치였다. 이후 오픈AI가 구성한 AI 에이전트가 호주 정부를 해킹했으며, 다른 공격 사례 보고도 끊이지 않고 있다. 페이지브레이크는 이러한 공격 행위의 반대편에 서서, AI를 이용해 잠재적인 위협을 사전에 제거하는 방어적인 역할을 수행한다.
구글은 페이지브레이크와 함께 자동화된 버그 수정 에이전트인 '코드멘더(CodeMender)'와의 연동도 계획하고 있다. 이는 발견된 취약점을 단순히 보고하는 것을 넘어, AI가 스스로 수정하는 단계까지 나아가려는 움직임으로 풀이된다. 이러한 시도는 보안 시스템의 효율성을 극대화하고, 잠재적인 위협에 대한 대응 속도를 획기적으로 높일 수 있을 것으로 기대된다. 페이지브레이크의 성공적인 도입은 앞으로 기업들이 AI를 활용하여 자체적인 사이버 보안을 강화하는 새로운 표준을 제시할 가능성이 높다. 이는 단순히 보안 전문가의 역할을 대체하는 것을 넘어, AI와 인간 전문가가 협력하여 더욱 강력하고 지능적인 보안 체계를 구축하는 미래를 예고한다.