Claude Mythos 엔터프라이즈판, 1만 건이 넘는 고위험 취약점 발굴: Anthropic, 13개 거대 기업과 AI 보안 동맹 결성

Anthropic이 최근 큰 움직임을 보였지만, 이번에는 새 모델 발표만큼 단순한 일이 아닙니다.

4월 7일, 함께 설 리 없다고 상상도 못할 회사들 — AWS, Apple, Broadcom, Cisco, CrowdStrike, Google, JP모건, Linux 재단, Microsoft, NVIDIA, Palo Alto Networks — 와 손잡고 Project Glasswing 이라 불리는 보안 동맹을 발표했습니다. 사명은 단 하나: AI로 전 세계 가장 중요한 소프트웨어의 보안 문제를 해결하는 것입니다.

같은 날 Anthropic은 또 하나의 중대 소식을 털어놓았습니다: 내부적으로 Claude 계열 모델로 기업 코드베이스에 대한 대규모 보안 스캔을 수행한 결과 1만 건이 넘는 고위험 취약점이 발견됐다는 것입니다.

이 두 소식이 겹치자 보안 업계 전체가 발칵 뒤집혔습니다.

1만 건이 넘는 고위험 취약점은 어떻게 발굴됐나

이야기는 Anthropic의 AI 보안 연구에서 시작됩니다.

Claude Mythos는 Anthropic이 내부적으로 계속 다듬어 온 보안 연구 전용 모델입니다. 일반 Claude와 달리 코드 리버싱, 취약점 발견, 침투 테스트 시나리오에 특화되어 최적화되어 있으며, 대규모 코드베이스에서 실제 위협이 되는 취약점을 자동으로 찾아냅니다.

Glasswing 프로젝트 착수에 앞서 Anthropic 팀은 Claude Mythos로 일련의 기업급 코드베이스에 '스트레스 테스트'를 실시했고 — 결과는 소름 돋는 수준이었습니다:1만 건이 넘는 고위험 취약점이 나왔고, 인증 우회, 메모리 손상부터 공급망 공격에 이르는 다양한 유형을 포괄했습니다.

이 취약점들은 전통 스캐너로 찾은 것도, 보안 엔지니어가 수작업으로 발굴한 것도 아니라 AI 모델이 자동으로 돌려서 찾아낸 것입니다.

전통적인 방식과 비교해 보세요: 전문 보안 팀이 기업 코드 전체 감사를 한 번 하려면 보통 몇 달이 걸리고 비용은 수십만 달러에 이릅니다. Claude Mythos는 같은 규모의 코드베이스에서 시간을 며칠 단위, 그 이하로 압축할 수 있습니다.

이것이 AI 보안 연구 도구의 규모 차이입니다.

Claude Mythos는 대체 얼마나 강한가

뉴욕타임스는 4월 7일 보도 제목에 이렇게 한 줄로 적었습니다:'Anthropic Claims Its New A.I. Model Is a Cybersecurity Reckoning'— 쉽게 말해 이 모델이 너무 강력해서 Anthropic 스스로 공개 출시가 부적절하다고 판단했다는 뜻입니다.

BBC는 이후 후속 기사를 별도로 실었는데, 제목이 바로:'What is Anthropic's Claude Mythos and what risks does it pose?'

여러 정보를 종합하면, Claude Mythos의 핵심 역량은 세 방향에 집중되어 있습니다:

– 코드 이해와 리버싱: 복잡한 기업급 코드베이스 구조를 읽어 내고 그 안의 보안 결함을 찾아냅니다
– 취약점 악용 가능성 평가: 취약점을 찾는 데 그치지 않고, 실제 공격 시나리오에서 악용될 수 있는지까지 판단합니다
– 대규모 자동화 스캔: 코드베이스 전체를 한 번에 실행하며, 사람이 단계별로 조사할 필요가 없습니다

이 역량 조합은 무엇을 의미할까?

예전에는 보안 팀이 석 달 걸리던 일을 이제 AI가 며칠 만에 끝낼 수 있다는 뜻입니다. 게다가 AI는 지치지 않고, 스캔을 빠뜨리지 않고, 코드가 복잡하다고 주눅 들지 않습니다.

Project Glasswing: AI 보안 동맹은 어떤 배경인가

AI 역량만으로는 부족하다고 판단했는지, Anthropic은 13개 테크 거인을 끌어들여 Project Glasswing을 출범시켰습니다.

이 명단 자체가 살펴볼 가치가 있습니다:

– 클라우드 공급자: AWS, Microsoft Azure
– 보안 기업: CrowdStrike, Palo Alto Networks
– 칩/하드웨어: Broadcom, NVIDIA
– 기업 사용자: JP모건
– 오픈소스 인프라: Linux 재단
– 운영체제: Apple
– 네트워크 장비: Cisco
– AI 기업: Anthropic, Google

이 조합은 무엇을 의미할까? 이들이 이론 연구만 하는 게 아니라, 칩 계층부터 운영체제 계층, 클라우드 플랫폼 계층, 애플리케이션 계층까지 전 체인으로 AI 보안 역량의 실현을 관통시키려 한다는 뜻입니다.

Glasswing의 핵심 계획은 다음을 포함합니다:

– AI 기반 코드 보안 평가 표준 구축
– 핵심 오픈소스 소프트웨어의 보안 감사 추진
– AI가 발견한 고위험 취약점 정보 공유
– 전 세계 핵심 인프라에 AI 보안 방어 제공

직설적으로 말하면, AI 시대의 '사이버 보안 동맹'을 세워 AI로 AI가 가져오는 보안 위험에 맞서겠다는 것입니다.

1만 개 취약점 뒤에 숨은 진짜 문제

취약점 1만 건 발굴 자체는 뉴스가 아닙니다. 보안 업계는 매일 취약점을 파고 있으니까요.

진짜 경계해야 할 것은 이 숫자 뒤의 의미입니다.

첫째, 취약점의 규모가 예상을 훨씬 넘었습니다.

예전부터 기업 코드베이스에 취약점이 있다는 건 알려져 있었지만, '고위험 1만 건 초과'라는 규모는 무엇을 말해주는가? 기존 개발 프로세스의 보안 점검으로는 애초에 부족하다는 뜻입니다. 코드 작성 완료, 보안 스캐너 한 번 돌리기, 통과 — 그래도 새어 나올 건 새어 나왔습니다. AI의 개입이 이 문제를 더 철저히 드러냈습니다.

둘째, 취약점의 분포가 말해주는 것.

Anthropic은 어떤 유형의 취약점이 가장 많았는지 구체적으로 공개하지 않았지만, Glasswing 참여 구성을 보면 추측할 수 있습니다: 공급망 취약점(Linux 재단이 있으므로), 인증 취약점(클라우드 공급자와 기업이 있으므로), 인프라 취약점(칩과 운영체제 기업이 있으므로)이 주요 방향이었을 것입니다.

셋째, '발견'이 '수리'와 같지 않습니다.

취약점 발굴은 첫걸음일 뿐입니다. 고위험 취약점 1만 건을 누가 고치나? 얼마나 걸리나? 많은 기업 코드베이스의 역사적 취약점은 이미 5~10년 존재했을 수 있고, 하나 고치는 것도 기존 기능을 깨뜨리지 않도록 조심해야 합니다.

AI 보안 도구의 양날의 검

여기서 한 가지는 반드시 언급해야 합니다: Claude Mythos로 취약점을 팔 수 있다는 것은, 다른 사람도 비슷한 AI로 취약점을 팔 수 있다는 뜻입니다.

Anthropic은 이번에 Claude Mythos를 공개 출시하지 않기로 했는데, 이유는 '위험하기 때문'입니다. 이는 Claude Opus 4 시절의 접근과 맥을 같이 합니다 — 먼저 위험을 평가하고, 그다음 개방 수준을 정하는 것입니다.

하지만 문제는:

– 다른 회사도 비슷하거나 더 강한 모델을 만들지 않을까?
– 이런 모델이 공격자 손에 들어가면 어떻게 될까?
– 기업이 공격자보다 먼저 AI로 자기 취약점을 메울 수 있을까?

Glasswing은 어느 정도 이 질문에 답하는 것입니다:AI 보안 역량을 소수 기업 손에 집중시키는 것보다, 업계 전체가 연합해 방어 장벽을 세우는 편이 낫다는 것입니다. 공격자에게 AI가 있다면 방어자도 반드시 있어야 하고, 더 빠르고, 더 정확하고, 더 체계적이어야 합니다.

일반 개발자는 어떻게 봐야 하나

개발자나 보안 엔지니어라면, 이 일에는 몇 겹의 의미가 있습니다:

단기적으로: Glasswing의 취약점 공유 메커니즘은 핵심 오픈소스 프로젝트와 인프라를 우선적으로 커버합니다. 당신이 맡은 제품 라인에는 당분간 기대하기 어렵지만, 이들의 기술 표준과 취약점 등급화 방법론 후속 공표에 주목할 만합니다.

중기적으로: Claude Mythos 같은 보안 전용 모델이 기업 보안 도구 체인에 점진적으로 들어옵니다. 미래의 IDE 플러그인이나 CI/CD 보안 스캔 프로세스에서 유사한 AI 역량의 통합을 보게 될 수 있습니다. 이 방향을 미리 알아두면 손해가 없습니다.

장기적으로: AI 보안 연구와 AI 공격 연구 사이의 군비 경쟁은 갈수록 치열해질 것입니다. 방어 측의 AI 역량이 강해지는 만큼 공격 측의 AI 역량도 함께 진화합니다. Glasswing의 출범은 대형 기업들이 이미 이를 전략적 과제로 다루고 있음을 보여줍니다.

이 시점이 왜 중요한가

2026년, AI Agent가 기업 워크플로에 대거 연결되기 시작했습니다 — 코드 생성부터 데이터 처리까지, 내부 시스템부터 고객 상호작용까지. Claude와 GPT 같은 모델은 이미 기업 핵심 비즈니스 프로세스 깊숙이 들어가 있습니다.

AI가 민감한 데이터를 처리하고, 핵심 코드를 작성하고, 프로덕션 시스템에 연결되기 시작할 때,AI 자체의 보안 취약점과 AI가 발견한 보안 취약점은 같은 일의 양면이 됩니다.

Glasswing과 그 1만 개의 취약점은 Anthropic이 던진 돌멩이입니다 — 업계 전체가 깨닫길 바라는 것입니다: AI 보안은 기술 문제가 아니라 생태계 문제라고.

한 회사만으로는 해결할 수 없고, 업계 전체가 함께 해결해야 합니다.

이것은 평소 서로 뾰족낭 같은 Apple, Microsoft, Google이 어떻게 한자리에 앉을 수 있었는지도 설명해 줍니다.

마지막으로 한마디

고위험 취약점 1만 건은 불안을 조성하려는 숫자가 아닙니다.

이것은 Anthropic이 AI로 대규모 '건강검진'을 한 뒤 결과를 전 세계에 알린 것입니다. 검진 보고서가 나왔으니, 문제는 당신이 어떻게 대응할 것인가입니다.

Glasswing의 표준이 자리 잡기를 기다릴 것인가, 아니면 지금 바로 AI 도구로 자기 코드베이스 전수 스캔을 시작할 것인가?

이 선택은 당신이 직접 해야 합니다.