기술 요약: 브라우저 인공지능 패널 권한 상승 취약성에 대한 보안 분석

문제 정의

대규모 언어 모델(LLM) 기반의 AI 어시스턴트를 웹 브라우저, 특히 구글 크롬의 "Gemini Live" 사이드 패널에 직접 통합하는 방식은 기존의 브라우저 보안 모델이 해결하지 못하는 새로운 공격 표면을 생성했습니다. 표준 브라우저 탭은 엄격한 권한 제약 하에 작동하지만, Gemini 패널은 AI 기반 작업을 용이하게 하기 위해 로컬 파일, 카메라, 마이크 및 스크린샷에 대한 접근 권한과 같은 높은 수준의 브라우저 레벨 권한을 상속받도록 설계되었습니다.

이러한 아키텍처 결정은 **권한 경계 격차(privilege boundary gap)**를 발생시켰습니다. CVE-2026-0628(CVSS 8.8)로 식별된 이 취약점은 AI 패널 컨텍스트가 제3자 확장 프로그램으로부터 적절한 격리를 강제하지 못하기 때문에 발생합니다. 결과적으로, 일반적인 탭에 대한 표준 권한을 가진 확장 프로그램이 Gemini 패널에 스크립트를 주입할 수 있으며, 해당 코드는 전체 브라우저 레벨의 권한을 가지고 실행됩니다. 이를 통해 악성 또는 침해된 확장 프로그램은 일반적인 탭 컨텍스트에서 요구되는 사용자 프롬프트나 제한 없이도 민감한 리소스(예: 카메라, 마이크, 로컬 파일 시스템)에 접근할 수 있습니다.

방법론

본 연구는 취약점 분석, 실증적 감사, 위협 모델링이라는 세 가지 측면의 방법론을 결합하여 수행되었습니다:

1. 컨텍스트 권한 분석: 저자들은 CVE-2026-0628에 관한 벤더 공시 및 Palo Alto Networks Unit 42의 기술 보고서를 체계적으로 분석했습니다. 이들은 세 가지 상태—표준 탭 컨텍스트, 패치 전 Gemini 패널 컨텍스트, 패치 후 Gemini 패널 컨텍스트—의 API 접근 역량을 비교했습니다.
2. 자동 권한 감사: 5개 카테고리(생산성, 개발 도구, 보안/개인정보 보호, AI 어시스턴트, 소셜 미디어)에 걸친 114개의 고유한 Chrome 웹 스토어 확장 프로그램을 감사하기 위해 자동화된 도구(audit_chrome_extensions.py)를 개발했습니다.
   • 데이터 수집: 도구는 CRX 패키지를 다운로드하고, manifest.json을 파싱하며, content_scripts[].matches, host_permissions, URL 포함 권한을 추출했습니다.
   • 이중 방법론 분류: 편향을 완화하기 위해 성공적으로 분석된 46개의 확장 프로그램에 대해 두 가지 독립적인 분류 방법을 적용했습니다.
     • 방법 A (단일 차원 규칙): 글로벌 매치 패턴(예: <all_urls>, *://*/*) 또는 명시적인 Google/Gemini 오리진 커버리지를 보유한 경우 'HIGH' 위험으로 분류합니다.
     • 방법 B (다차원 가중치 점수 산정): 호스트 커버리지(35%), API 역량(30%), 정적 코드 지표(20%), AI 패널 커버리지(15%)를 기반으로 0~100 사이의 위험 점수를 계산합니다.
3. 위협 모델 구축: AI 패널 권한 상승의 공격 체인, 전제 조건, 그리고 다른 AI 패널 구현체(Microsoft Edge Copore, Opera Aria, Brave Leo)에 대한 적용 가능성을 정의하는 일반화된 위협 모델을 구축했습니다.

주요 기여

• CVE-2026-0628의 체계적 분석: Gemini 패널의 권한 상속이 어떻게 악용 가능한 경계 격차를 만드는지 보여주는 실행 컨텍스트에 대한 공식적인 기술적 비교를 제시했습니다.
• 대규모 실증 감사: 114개의 확장 프로그램을 자동 감사한 결과, 성공적으로 분석된 확장 프로그램의 **73.9%**가 CVE-2026-0628 경계 격차를 악용할 수 있는 충분한 권한 세트를 보유하고 있음을 밝혀냈습니다. 이 비율은 단일 방법론 연구에서 보고된 12.3%의 과잉 권한율보다 현저히 높습니다.
• 보안 역설(Security Paradox) 식별: 연구 결과, 보안/개인정보 보호 카테고리의 확장 프로그램이 방법 A 하에서 **80.0%**의 높은 위험도를 보였으며, 이는 보호 도구 자체가 매우 과도한 권한을 가지고 있음을 나타냅니다.
• 일반화된 위협 모델: AI 패널 권한 상승에 대한 정의된 공격 체인을 제시하였으며, 이는 AI 사이드 패널을 통합하는 다른 브라우저에도 적용 가능합니다.
• 설계 원칙: 안전한 AI 기능 통합을 위한 세 가지 원칙인 명시적 AI 컨텍스트 격리(Explicit AI Context Isolation), 역량 기반 리소스 부여(Capability-Based Resource Grants), 공급망 인식(Supply Chain Awareness)을 제안합니다.

결과

감사는 두 분류 방법론 모두에서 수렴하는 결과를 얻었습니다:

• 악용 가능한 권한의 높은 보급률: 분석된 46개 확장 프로그램 중 73.9%가 'HIGH' 위험(방법 A) 또는 'HIGH+MEDIUM' 위험(방법 B)으로 분류되었습니다.
• 광범위한 매치 패턴의 지배력: <all_urls> 매치 패턴은 고위험 확장 프로그램의 **70.6%**에서 나타났으며, 이는 Gemini 패널을 포함한 모든 오리진에 대한 주입을 가능하게 합니다.
• 카테고리별 분류:
  • 개발 도구: 92.3% 고위험.
  • 보안/개인정보 보호: 80.0% 고위험.
  • AI 어시스턴트: 100% 고위험 (성공적으로 분석된 단일 샘플 기준).
  • 소셜 미디어: 71.4% 고위험.
  • 생산성: 53.3% 고위험.
• 검색 제한 사항: 초기 후보 세트의 60.7%(117개 ID 중 71개)는 웹 스토어에서 삭제되었거나 검색 오류로 인해 분석할 수 없었습니다. 저자들은 이것이 분석된 샘플이 모집단 전체의 고위험율에 대한 "하한선(floor)"임을 시사한다고 언급했습니다.

의의 및 주장

본 논문은 CVE-2026-0628이 고립된 예외 사례가 아니라, AI 기능을 기존 생태계에 통합할 때 발생하는 더 넓은 아키텍처 결함의 증상이라고 주장합니다. 즉, 기존 보안 모델이나 새로운 AI 구성 요소 모두가 설계 당시 고려하지 못한 권한 경계 격차가 도입된다는 것입니다.

연구 결과의 의의는 과잉 권한 부여의 체계적 성격에 있습니다. 73.9%의 확장 프로그램이 이 취약점을 악용할 수 있는 권한을 보유하고 있다는 사실은, 이러한 공격의 전제 조건이 일반적인 사용자 환경에서 흔하다는 것을 의미합니다. 본 논문은 사용자의 개인정보를 보호하기 위해 설계된 도구들이 오히려 광범한 권한 요구로 인해 가장 악용되기 쉬운 도구가 되는 "보안 역설"을 강조합니다.

저자들은 권한 경고에 대한 사용자의 이해에 의존하는 것은 이러한 미묘한 런타임 권한 전이를 감지하는 데 효과적이지 않다고 결론지었습니다. 대신, 브라우저 벤더가 명시적 AI 컨텍스트 격리를 구현하여, AI 패널에서의 높은 수준의 리소스 접근 권한이 AI 구성 요소에만 국한되고 제3자 주입 코드에 의해 상속되지 않도록 보장해야 한다고 제안합니다. 본 연구는 향-AI 통합 브라우저 아키텍처를 위한 기초적인 위협 모델 역할을 합니다.