사이버보안 업계는 앤트로픽의 첨단 AI 모델 등장으로 중대한 전환점을 맞고 있다. 이 기술의 핵심 특징과 기업 보안 전략에 미칠 것으로 예상되는 영향을 살펴본다.
클로드 미토스란 무엇인가
클로드 미토스는 앤트로픽이 개발한 첨단 AI 모델로, 사이버보안과 의료 분야에 특화돼 최적화됐다.
미토스 5(Mythos 5)는 보다 광범위한 출시를 앞두고 지난 4월 엄선된 소수의 기술 파트너에게 먼저 공개됐다.
앤트로픽은 인프라 제공업체, 오픈소스 개발자, 주요 기술 기업에 미토스를 제한적이고 통제된 방식으로 제공하는 컨소시엄인 프로젝트 글래스윙(Project Glasswing)을 출범시켰다. 이 프로그램은 방어자가 공격자보다 더 빠르게 취약점을 찾아 해결할 수 있도록 지원하기 위해 마련됐다. 최근 공격자 역시 AI 도구를 적극 활용하기 시작한 점을 고려한 조치다.
클로드 미토스의 기능은 무엇인가
프로젝트 글래스윙의 초기 파트너 50곳은 미토스를 활용해 주요 운영체제와 주요 웹 브라우저 전반에서 심각(Critical) 또는 높은(High) 등급의 취약점 1만 건 이상을 발견했다.
미토스는 최고 수준의 보안 연구자들도 수년간 찾아내지 못했던 보안 취약점을 식별하고 있다. 대표적으로 27년 동안 발견되지 않았던 오픈BSD(OpenBSD)의 버그를 찾아냈으며, 여러 개의 취약점을 연계해 하나의 공격 경로로 활용하는 능력도 입증했다.
미토스는 누가 사용할 수 있나
앤트로픽은 미토스의 뛰어난 성능이 공격자에게 악용될 가능성이 있다는 이유로 이 최첨단 AI 모델의 광범위한 공개를 제한하고 있다고 밝혔다.
지난 6월에는 추가로 150개 기관에 접근 권한을 제공했다. 모든 미토스 파트너는 안전성 모니터링을 위해 30일간의 데이터 보관 정책에 동의해야 한다.
미토스 공개 이후 트럼프 행정부가 AI 규제에 대한 기존의 ‘최소 개입(hands off)’ 기조를 재검토하면서, 미국 정부는 6월 15일 클로드 페이블 5(Claude Fable 5)와 클로드 미토스 5에 대해 수출 통제를 적용했다. 이 조치는 미국 안팎의 외국인 접근을 차단하기 위한 것이었지만, 해당 제한은 6월 30일 해제됐다.
클로드 페이블이란 무엇인가
앤트로픽은 보다 폭넓은 사용자를 위해 클로드 페이블 5를 제공하고 있다.
클로드 페이블 5는 미토스와 동일한 기반 기술을 사용하지만, 위험도가 높은 사이버보안 작업을 제한하는 강력한 가드레일이 적용돼 있다. 위험하다고 판단되는 요청은 자동으로 이전 세대이자 성능이 낮은 LLM인 오퍼스(Opus) 4.8로 전달된다.
보안 파트너들은 미토스를 어떻게 활용하나
앤트로픽의 프로젝트 글래스윙 참여 기업인 시스코는 모델 종류와 관계없이 사용할 수 있는 보안 테스트 프레임워크인 ‘파운드리 시큐리티 스펙(Foundry Security Spec)’을 오픈소스로 공개했다. 이를 통해 다른 보안 업체와 기업 보안팀도 처음부터 개발하지 않고 유사한 워크플로를 구축할 수 있도록 했다.
최근 열린 웹 콘퍼런스에서 시스코는 AI를 활용하면 보안 취약점을 탐지하고 검증하며 해결하는 작업을 훨씬 빠른 속도와 더 큰 규모로 수행할 수 있다고 설명했다. 공격자들이 AI를 활용해 취약점 발견부터 실제 공격까지 걸리는 시간을 크게 단축하고 있는 만큼, 기존의 ‘취약점 하나를 발견하면 하나를 패치하는’ 방식으로는 더 이상 충분하지 않다는 것이다.
시스코는 현재 자사 전체 제품군에 포함된 약 18억 줄의 소스코드를 AI를 활용해 분석하고 있다.
또한 시스코는 규모가 작은 기업이 보안을 강화하기 위해 반드시 제한된 AI 모델에 접근할 필요는 없다고 평가했다. 인증(Authentication), 네트워크 분리(Segmentation), 제로 트러스트(Zero Trust), 실제 악용되고 있는 취약점의 우선적인 조치 등 기본적인 보안 체계를 강화하는 것만으로도 충분한 효과를 거둘 수 있다고 설명했다.
미토스의 경쟁 기술은 무엇인가
미토스는 인간 연구팀의 능력을 훨씬 뛰어넘는 속도와 규모로 제로데이 취약점을 자동 발견할 수 있는 대표적인 최첨단 AI 모델로 평가받고 있다.
그러나 이와 유사한 기술을 개발하는 기업은 앤트로픽뿐만이 아니다. 여러 업체가 고성능 보안 작업을 지원하는 최첨단 AI 모델을 개발하고 있으며, 일부는 사이버보안 연구에 활용할 수 있는 성능 높은 오픈 모델을 제공하고 있다.
즉, 클로드 미토스가 유일한 선택지는 아니라는 의미다.
예를 들어 오픈AI의 GPT-5.4-Cyber와 GPT-5.5는 취약점 분석과 탐지, 악성코드 분석, 위협 모델링 등에 활용할 수 있다. 보안 업체와 기업, 연구기관은 오픈AI의 ‘사이버용 신뢰 접근(Trusted Access for Cyber, TAC)’ 프로그램을 통해 해당 기술을 이용할 수 있다.
중국의 사이버보안 기업 360 시큐리티 테크놀로지(360 Security Technology)는 앤트로픽의 미토스에 대응하는 자체 모델인 ‘툴룽펑(Tulongfeng)’을 개발했다.
또한 딥시크 V3.2, 라마 4 등 고성능 오픈 모델은 GPU 인프라에서 자체적으로 운영하며 사이버보안 연구에 활용할 수 있다. 일본 AI 기업 사카나 AI(Sakana AI)의 후구(Fugu)도 같은 범주의 대안으로 꼽힌다.
클로드 미토스에 대한 보안 업계의 평가는
정보보안 전문가들은 클로드 미토스가 뛰어난 기술력을 갖춘 것은 분명하지만, 실제 운영 환경(프로덕션 시스템)을 안정적으로 침해할 수 있다는 일부 마케팅 주장은 성능을 과장한 측면이 있다고 지적한다.
보안 전문가들은 팟캐스트 등을 통해 클로드 페이블의 가드레일이 지나치게 민감하다는 불만도 제기하고 있다. 보안 관련 블로그 게시물을 요약해 달라는 요청이나 ‘익스플로잇(exploit)’이라는 단어를 입력하는 것만으로도 이전 세대 모델인 오퍼스 4.8로 전환되는 경우가 있어, 일상적인 정보보안 업무조차 제대로 수행하기 어렵다는 것이다.
또 다른 전문가들은 최첨단 AI 모델을 활용한 사이버보안 연구에서는 오탐(False Positive)이 중요한 문제가 될 가능성이 높다고 경고한다.
더 근본적인 비판도 있다. 취약점을 더 많이, 더 빠르게 찾아내는 것만으로는 보안 버그를 안정적으로 수정하거나 사회공학(Social Engineering)과 같은 비기술적 공격 경로에 대응하는 보다 큰 과제를 해결할 수 없다는 지적이다.
기업 CISO는 어떻게 대응해야 하나
미국·영국·캐나다·호주·뉴질랜드로 구성된 정보 공유 동맹인 파이브 아이즈(Five Eyes)는 공동 성명을 통해 클로드 미토스와 같은 최첨단 AI 모델이 “수년이 아닌 수개월 단위로 공격과 방어 양측의 사이버 역량을 근본적으로 변화시키고 있다”라고 경고했다.
미국 국가안보국(NSA)과 영국 국가사이버보안센터(NCSC) 등이 참여하는 이 협의체는 “AI는 장기적으로 사이버 방어를 강화하는 데 도움이 되겠지만, 동시에 사이버 위협의 속도와 규모, 그리고 정교함도 함께 높이고 있다”라고 밝혔다.
전문가들은 기업이 사이버보안 복원력(Cyber Resilience)을 강화하기 위한 장기 전략의 일환으로 AI를 적극 활용해야 한다고 조언한다.
한 전문가는 현실적인 공격 경로를 인간 공격자보다 더 빠르게 분석할 수 있는 AI 기반 시스템이 빠르게 새로운 위협으로 부상하고 있지만, 대부분의 조직은 이러한 변화가 자사의 위협 모델에 어떤 의미를 갖는지 아직 제대로 대비하지 못하고 있다고 지적했다.
컨설팅 기업 엘릭서(Elixirr)의 파트너 겸 최고정보보호책임자(CISO)이자 전 맥킨지 파트너인 조 허브백(Joe Hubback)은 “이제 AI 시스템은 소프트웨어와 공급업체, 핵심 인프라 전반에서 현실적인 공격 경로를 인간 공격자가 이를 파악하는 것보다 더 빠르게 분석할 수 있다”라며 “미토스급 AI의 상용화가 본격화되면 더 이상 일부 연구자의 문제가 아니라 모든 조직이 위협 모델에 반드시 반영해야 할 사안이 될 것”이라고 말했다.
클라우드 시큐리티 얼라이언스(Cloud Security Alliance)가 발표한 AI 안전성 관련 보고서에서도 AI가 취약점 발견부터 실제 악용까지 걸리는 시간을 크게 단축하면서 기존의 ‘패치 후 대응(Patch-and-React)’ 중심 보안 모델을 앞지르고 있다고 분석했다. 이에 따라 기업은 프로젝트 글래스윙을 비롯한 다양한 경로에서 AI가 발견하는 취약점이 지속적으로 증가하는 상황에 대비해야 한다고 보고서는 권고했다.
보고서는 “미토스에서 입증된 역량은 머지않아 더 폭넓게 보급될 것이며, 기업은 이전보다 훨씬 더 많은 복잡하고 새로운 형태의 공격에 더욱 자주 직면하게 될 것”이라고 전망했다.
이에 따라 기업 보안 조직은 지속적인 취약점 관리, 더욱 신속한 위험 우선순위 결정, 향상된 사고 대응 체계를 중심으로 하는 ‘미토스 대응(Mythos-ready)’ 보안 전략으로 전환해야 한다고 보고서는 제언했다.
[email protected]
