제로클릭 취약점은 최초 침투 가능성만으로 위험이 결정되지 않는다. 공격자가 첫 단계에서 어떤 실행 상태를 얻고, 그 결과를 다음 권한 경계 공격에 연결할 수 있는지가 실제 피해 범위를 좌우한다.

Google Project Zero의 Updating the Dolby Exploit 연구는 이 연결 문제를 보여준다. 연구진은 Pixel 9에서 두 개의 익스플로잇으로 제로클릭 컨텍스트부터 Android 루트 권한까지 이어지는 체인을 만들었으며, 이어서 Pixel 10에서도 유사한 체인을 구현할 수 있는지 살펴보고 있다.

Pixel 9 체인으로 확인된 범위는 어디까지인가?

Project Zero에 따르면 Dolby 취약점은 체인의 제로클릭 진입점이었고, 2026년 1월 패치되기 전까지 Android 전반에 존재했다. Pixel 9에서는 여기에 두 번째 익스플로잇을 결합해 루트 권한까지 도달했다.

제로클릭은 피해자가 링크를 누르거나 파일을 열고 권한을 승인하지 않아도 공격 경로가 시작될 수 있다는 의미다. 루트는 Android에서 매우 높은 권한을 가진 상태다. 따라서 두 지점 사이의 이동은 하나의 버그 실행이 아니라 여러 보안 경계를 통과하는 과정으로 봐야 한다.

다만 제공된 자료에는 트리거 방식, 익스플로잇 프리미티브, 두 번째 취약점과 우회한 완화 기법이 구체적으로 제시되지 않았다. Dolby 취약점 하나가 곧바로 루트를 제공했다고 해석해서는 안 된다. 확인된 사실은 Pixel 9 환경에서 두 익스플로잇이 완성된 체인을 구성했다는 것이다.

왜 Pixel 10에서는 다시 검증해야 하나?

연구진은 Pixel 10을 대상으로 “유사한” 익스플로잇 체인을 작성할 수 있는지 확인하려 한다고 설명한다. 이는 Pixel 9용 체인이 수정 없이 Pixel 10에서도 동작한다는 발표가 아니다. 제공된 기록만으로는 Pixel 10에 대한 최종 성공 여부 역시 알 수 없다.

익스플로잇 체인에서 각 단계는 다음 단계와 맞물려야 한다. 최초 취약점이 만든 상태를 후속 익스플로잇이 활용할 수 있어야 하며, 권한 상승 단계도 새 대상의 소프트웨어와 방어 환경에서 유효해야 한다. 기기 세대가 바뀌어 가정 하나만 깨져도 전체 체인은 중단될 수 있다.

따라서 익스플로잇을 업데이트한다는 것은 단순히 대상 모델을 바꾸는 작업이 아니다. 패치와 플랫폼 변화 이후에도 유지되는 조건을 찾고, 무효화된 단계를 교체하며, 제로클릭 진입점부터 높은 권한까지 연결이 계속되는지 입증해야 한다.

개발 및 보안 조직이 적용할 교훈은 무엇인가?

우선 취약점 우선순위를 정할 때 체인 구성 가능성을 고려해야 한다. 단독으로는 제한돼 보이는 결함도 출력 상태가 샌드박스 탈출이나 권한 상승의 입력으로 사용되면 위험이 커질 수 있다. 반대로 필수 단계를 제거하면 다른 취약점이 남아 있어도 전체 공격 경로는 끊길 수 있다.

또한 취약점의 영향 범위와 검증된 익스플로잇 대상 범위를 구분해야 한다. Dolby 취약점이 Android 전반에 존재했다는 설명과 Pixel 9에서 완성된 체인이 확인됐다는 설명은 서로 다른 사실이다. 이를 합쳐 모든 Android 기기에서 동일한 방식으로 루트 획득이 가능했다고 확대 해석할 근거는 없다.

• 관리 대상 Android 기기에 2026년 1월 수정 사항 또는 그 이후의 적용 가능한 보안 업데이트가 설치됐는지 확인한다.
• 취약점별 점수만 비교하지 말고 최초 진입부터 권한 상승까지 전체 공격 경로를 모델링한다.
• 사고 조사에서는 최초 접근, 권한 경계 전환, 이후의 고권한 활동을 시간 순서로 연계해 분석한다.
• 지원하는 기기 세대와 소프트웨어 빌드마다 익스플로잇 전제 조건을 다시 시험한다.

제품 설계 측면에서는 방어 계층 사이의 독립성도 중요하다. 한 구성요소가 침해되더라도 다음 경계를 넘으려면 별도의 조건을 충족하도록 설계해야 한다. 보안 테스트는 각 경계가 실제로 독립적인지와 한 단계의 출력이 다음 단계에 무엇을 노출하는지를 확인해야 한다.

다음 공개에서 무엇을 확인해야 하나?

가장 중요한 후속 정보는 Pixel 10 실험 결과다. Pixel 9 체인의 어느 부분을 재사용할 수 있는지, 어떤 단계를 교체해야 하는지, 새 플랫폼의 변화가 기존 체인을 어디서 중단시키는지가 공개되면 세대 간 이식 가능성을 더 정확히 판단할 수 있다.

패치가 제공됐다는 사실과 현장 단말에 배포됐다는 사실도 분리해야 한다. Project Zero는 문제가 2026년 1월 수정됐다고 밝혔지만, 제공된 자료에는 제조사·통신사·조직별 배포 현황이 없다. 각 조직은 공표된 날짜만 믿지 말고 자산 인벤토리에서 실제 보안 패치 수준을 확인해야 한다.

구체적인 기술 공개 전에는 Dolby 하위 시스템이나 공격 기법을 임의로 추정하지 않는 편이 안전하다. 현재 확인된 두 단계 체인만으로도 업데이트 우선순위를 높이고, 권한 전환 구간의 탐지 범위를 점검할 근거는 충분하다.

결론

• Project Zero는 Pixel 9에서 제로클릭부터 루트까지 이어지는 두 익스플로잇 체인을 시연했다.
• 관련 Dolby 취약점은 2026년 1월 패치 전까지 Android 전반에 존재한 것으로 보고됐다.
• Pixel 9 체인이 Pixel 10에서 그대로 동작한다는 결과는 아직 제공되지 않았다.
• 보안 조직은 실제 단말의 패치 수준과 취약점 간 연결 경로를 함께 검증해야 한다.

관련 글

• ID 보안, 지속적 거버넌스와 행동 기반 탐지로 전환
• AI 에이전트 보안은 모델 경계 밖까지 확장돼야 한다
• AI 에이전트, 보안 지원을 넘어 능동적 테스트와 대응으로

참고 자료

Updating the Dolby Exploit