Hacking Google with A.I. For $500k
연구자가 AI를 활용해 구글의 1500개 API를 자동으로 퍼징하고 3600개의 API 키를 수집해 50만 달러의 버그바운티를 받았다. 이 방법은 구글의 내부 디스커버리 문서를 분석해 취약점을 찾는 방식이다.
연구자 Arvin Shivram이 AI를 활용해 구글의 1500개 API를 자동으로 퍼징하고, 3600개의 API 키를 수집해 총 50만 달러의 버그바운티를 받았다. 이 과정에서 구글 보이스 계정 탈취, YouTube 비공개 동영상 유출, Widevine DRM 탈취, Nest 기기 사용자 익명성 파괴 등 심각한 취약점을 발견했다.
연구자는 bugSWAT Mexico 초청 이후 구글 연구에 다시 집중하게 되었고, Claude를 활용한 소규모 프로젝트 경험을 바탕으로 AI를 이용한 대규모 API 퍼징의 가능성을 깨달았다. 구글의 디스커버리 문서(API 명세)를 수집하고, 6만 개 이상의 안드로이드 APK에서 API 키를 추출하는 방식으로 접근했다.
이 사례는 AI가 보안 연구에 혁신적으로 활용될 수 있음을 보여준다. 대규모 API 퍼징과 취약점 발견에 AI를 적용하면 인간 연구자만으로는 찾기 어려운 취약점을 발굴할 수 있으며, 이는 기업의 보안 대응 체계에 중요한 시사점을 준다.