앤트로픽 AI, 수십 년 버그 독자 발견…'클로드 미토스'가 바꾼 사이버 전쟁 - 일간투데이

- 앤트로픽 '클로드 미토스', 5백만 번 자동화 테스트도 못 잡은 버그 자율 발견 - 구글·MS·애플·엔비디아 등 12개사 창립…총 50여 기관 방어 공동 전선 -'사전 침해 차단'으로 패러다임 전환…한국 핵심 인프라 대응 시급 [일간투데이 신현승 기자] 인간의 개입 없이 스스로 소프트웨어 취약점을 찾아내고 다단계 해킹을 수행하는 '자율형 사이버 공격' 시대가 개막하면서 전 세계 보안 패러다임이 '사후 대응'에서 '구조적 억제'로 급변하고 있다. 앤트로픽이 4월 7일 공개한 차세대 모델 '클로드 미토스 프리뷰(Claude Mythos Preview)'가 수십 년 동안 발견되지 않았던 오픈BSD의 보안 결함과 FFmpeg의 취약점을 자율적으로 돌파하며 AI가 비대칭 사이버 무기로 진화했음을 입증했다. 이에 구글·MS·아마존 등 글로벌 빅테크들은 12개 창립 파트너 체제의 '프로젝트 글래스윙(Project Glasswing)'을 출범시키며 전례 없는 공동 방어 체계 구축에 나섰다. ■ 27년 된 난공불락 취약점도 단숨에… AI, 스스로 해킹 경로 설계 앤트로픽의 연구진은 컨테이너 환경과 클로드 코드 인스턴스, 그리고 "보안 취약점을 찾아라"는 단락짜리 프롬프트 하나만을 제공했다. 이후 인간의 개입은 전혀 없었고, 모델은 코드를 읽고 가설을 세우며 실행 중인 시스템을 대상으로 검증 과정을 거쳐 개념 증명(PoC) 익스플로잇과 재현 절차가 담긴 버그 보고서를 출력해냈다. 클로드 미토스 프리뷰는 보안을 최우선 설계 원칙으로 삼는 운영체제 오픈BSD에서 27년간 숨어 있던 정수 오버플로 취약점을 발견했다. FFmpeg에서도 500만 번 이상의 자동화 테스트를 통과해온 코드 한 줄에서 16년 묵은 결함을 찾아냈다. 미토스 프리뷰는 모든 주요 운영체제와 웹 브라우저에서 수천 건의 고위험 제로데이 취약점을 이미 발견했으며, 취약점 탐지를 넘어 이를 실제 공격 도구로 변환하는 능력까지 사전 테스트에서 확인됐다. 기존 해킹이 인간 해커의 직관과 노력을 필요로 했다면, 자율형 AI는 압도적인 연산 속도와 추론 능력을 바탕으로 침투 경로를 실시간으로 설계한다. AI가 취약점 탐지부터 공격 코드 작성·실행까지 전 과정을 자동화하면서, 사이버 공격의 문턱은 낮아지고 파괴력은 기하급수적으로 커지는 이른바 '사이버 무기화'가 현실로 다가왔다. ■ '사후 약방문' 끝났다… '디지털 억제력' 부상과 글래스윙의 전략 AI의 공격 속도가 밀리초(ms) 단위로 진화함에 따라, 침해 발생 후 방화벽으로 차단하는 기존 방식은 사실상 무력화됐다. 이에 따라 글로벌 보안 지형은 '디지털 억제력(Digital Deterrence)' 확보 전략으로 급격히 선회하고 있다. 소프트웨어 설계 단계부터 보안을 내재화(Security by Design)하여, 해커가 공격에 투입해야 하는 시간과 컴퓨팅 비용을 기대 수익보다 훨씬 높게 만들어 공격 자체를 단념하게 만드는 구조적 접근이다. 앤트로픽은 아마존웹서비스(AWS), 애플, 브로드컴, 시스코, 크라우드스트라이크, 구글, JP모건체이스, 리눅스재단, 마이크로소프트, 엔비디아, 팔로알토네트웍스 등 11개 기업·기관과 함께 프로젝트 글래스윙을 창립했다. 앤트로픽은 창립 파트너들 외에도 핵심 소프트웨어 인프라를 구축·운영하는 40여 개 추가 기관에 접근권을 부여했으며, 미토스 프리뷰 활용을 위한 1억 달러(약 1천380억 원) 규모의 사용 크레딧과 오픈소스 보안 단체를 위한 400만 달러 직접 기부를 약속했다. 크라우드스트라이크 최고기술책임자(CTO) 엘리아 자이체프는 "취약점이 발견된 후 공격에 악용되기까지의 시간이 과거 수개월에서 이제 AI로 인해 수분으로 단축됐다"며 "방어 진영이 같은 속도로, 함께 움직여야 한다"고 강조했다. 개별 기업의 파편화된 방어망으로는 자율형 AI의 공세를 막을 수 없다는 판단 아래, 보안 인텔리전스를 공유하고 표준화된 방어 기제를 공동으로 구축하겠다는 취지다. 앤트로픽은 클로드 미토스 프리뷰를 일반에 공개할 계획이 없다고 밝혔다. 이 모델은 적절한 가드레일을 갖춘 사이버 보안 방어 목적에 한해 활용될 예정이다. ■ 국경 없는 비대칭 위협… 한국형 '구조적 면역력' 재구축 시급 글로벌 빅테크들의 보안 연합은 국내 국가 핵심 인프라 보호에도 직접적인 시사점을 던진다. 현재 한국의 금융·통신·공공 데이터망은 글로벌 클라우드와 촘촘하게 연결되어 있어, 해외에서 발생한 자율형 AI 위협이 순식간에 국내 인프라를 마비시킬 수 있는 구조다. 특히 AI 공격은 국경과 물리적 장벽을 무시하는 비대칭 전력으로 작용하기 때문에 기존의 단순 보안 솔루션 추가 도입만으로는 한계가 명확하다. 전문가들은 망 설계와 데이터 접근 제어 전반에 걸친 '구조적 면역력' 강화를 서둘러야 한다고 지적한다. 정부와 민간 기업은 '선 침해 후 대응'의 관성에서 벗어나, AI를 활용한 역공학 방어와 취약점 자동 보정 시스템을 인프라 저변에 내재화해야 한다. 글로벌 보안 연합체와의 공조를 강화하는 동시에, 독자적인 AI 보안 기술이 빠른 진화 속도를 따라잡을 수 있도록 연구개발(R&D) 투자를 대폭 확대해야 할 시점이다.