Claude로 Firefox 하드닝

Mozilla는 Claude Mythos Preview와 다른 AI 모델을 활용해 Firefox의 잠복 보안 버그를 대거 찾아냈고, 일부는 샌드박스 이스케이프까지 포함했다.

핵심은 정적 분석보다, 재현 가능한 테스트케이스를 만들어 가설을 검증하는 하네스였다. 모델은 취약 지점을 찾고, 버그를 재현하는 코드를 만들고, 영향도를 설명하는 데까지 쓰였다.

성과는 다음과 같다.

• Firefox 150에서 271개 버그를 수정했다.
• 추가 수정은 149.0.2, 150.0.1, 150.0.2에도 반영됐다.
• 공개한 샘플에는 JIT/Wasm GC, IPC 레이스, XSLT, WebTransport, RLBox, HTML table/layout 등 다양한 서브시스템의 취약점이 포함됐다.
• 기존 하드닝, 예를 들어 프로토타입 동결 같은 조치는 실제로 여러 탈출 시도를 막아냈다.

Mozilla는 기존 fuzzing 인프라 위에 이 파이프라인을 얹고, 여러 ephemeral VM으로 병렬화해 파일 단위로 탐색하게 했다. 이후에는 알려진 이슈와 중복을 걸러 triage하고, 수정 사항을 릴리스로 연결하는 전체 보안 운영 흐름까지 통합했다.

이 작업에는 100명 이상이 코드 작성, 리뷰, 테스트, triage, 릴리스에 참여했다. Mozilla는 앞으로 이 분석을 CI에 붙여 패치가 들어올 때마다 자동 스캔하는 방향으로 확장할 계획이다.