크롬 취약점 찾기 대결: 전통 퍼저 vs 구글 AI 승자는?

요약 구글 프로젝트 제로(Project Zero)가 크롬의 자바스크립트 엔진인 V8을 대상으로 기존 무작위 대입형 테스팅 도구인 퍼저(Fuzzilli)와 최신 LLM 기반 에이전트 시스템(BigSleep)의 보안 취약점 발굴 능력을 비교한 분석 결과를 공개했습니다. 두 시스템은 모두 크롬의 실제 프로덕션 환경에 투입되어 새로 추가되는 코드를 실시간으로 감시하는 구조입니다. 퍼질리(Fuzzilli)는 다수의 인스턴스로 24시간 내내 연속 실행되며 코드 변경 몇 시간 내에 테스트를 진행하고, 빅슬립(BigSleep)은 하루 1회 신규 커밋을 검토해 발견한 버그의 개념증명(PoC) 테스트 케이스를 직접 작성해 제출합니다. 두 시스템 모두 클러스터퍼즈(Clusterfuzz)를 통해 크래시 분류를 거친 뒤 크롬 이슈 트래커에 버그를 등록합니다. 최근 6개월(2026년 4월~9월)간의 실전 데이터를 비교한 결과, 전체 버그 리포트 수는 빅슬립이 441건, 퍼질리가 316건을 기록했습니다. 단순 취약점 태그 기준으로는 퍼질리가 더 많은 건수를 보고했으나, 중복 버그나 재현 불능 등의 노이즈를 제외한 핵심 취약점 비교에서는 빅슬립이 45건, 퍼질리가 37건을 찾아내며 AI 기반 시스템이 근소하게 앞서는 양상을 보였습니다. 특히 흥미로운 점은 두 도구가 찾아낸 버그의 중복도(Overlap)였습니다. 실전 데이터에서 보고된 버그의 중복률은 25%에 불과했으며, 2023년 이후 취약점을 바탕으로 진행한 이론적 중복도 실험에서도 약 60% 수준에 그쳤습니다. 즉, AI만 발견할 수 있는 버그와 전통적인 퍼징으로만 찾아낼 수 있는 버그의 영역이 뚜렷하게 나뉘어 있다는 점이 확인된 것입니다. 연구진은 AI가 전통적 퍼저를 완전히 대체하기보다는 상호보완적 역할을 하고 있으며, 취약점 탐지율을 극대화하려면 두 기법을 모두 병행해야 한다고 권고했습니다.