보안의 병목이 이동하고 있다. 예전에는 취약점을 찾는 일이 가장 큰 문제였다. Claude Mythos Preview가 보여준 변화는 다르다. 이제는 빠르게 쏟아지는 발견 사항을 사람이 검증하고, 우선순위를 정하고, 실제 패치로 연결하는 운영 역량이 더 중요해지고 있다.
Claude Mythos Preview는 무엇인가
Claude Mythos Preview는 Anthropic이 Project Glasswing에 투입한 AI 모델이다. Project Glasswing은 고도화된 AI 모델이 악용되기 전에 핵심 소프트웨어를 먼저 보호하기 위한 협업 프로젝트다.1
초기 파트너들은 인터넷과 필수 인프라 작동에 중요한 소프트웨어를 구축·유지하는 조직들이다.1 Anthropic은 약 50개 파트너와 함께 시스템 핵심 소프트웨어에서 고위험 또는 치명적 취약점 1만 개 이상을 발견했다고 밝혔다.1
개별 사례도 눈에 띈다. Cloudflare는 Mythos Preview가 2,000개 버그를 표시했으며, 그중 400개가 고위험 또는 치명적 심각도였다고 밝혔다.1 Mozilla는 Firefox 150에서 취약점 271개를 발견해 수정했다고 전했다.1
핵심 변화는 “AI 보안 도구”가 아니라 “발견 비용의 하락”이다
Mythos Preview의 의미를 단순히 “AI가 보안 분석을 잘한다”로만 이해하면 부족하다. 더 중요한 변화는 취약점 발견 속도와 규모가 크게 달라졌다는 점이다.
Anthropic에 따르면 일부 Glasswing 파트너는 Mythos Preview 사용 후 버그 발견 속도가 10배 이상 증가했다고 전했다.1 Cloudflare는 오탐률이 인간 테스터보다 낫다고 평가했다.1
평가 환경에서도 성과가 보고됐다. 영국 AI Security Institute는 Mythos Preview가 자사의 두 사이버 레인지를 처음으로 엔드투엔드 해결한 모델이라고 밝혔다.1 사이버 레인지는 다단계 사이버 공격을 시뮬레이션하는 평가 환경이다.1
이 결과는 방어자에게 기회이면서 동시에 부담이다. 더 많은 취약점을 공격자보다 먼저 찾을 수 있지만, 발견량이 늘어날수록 검증과 패치 대기열도 함께 커진다.
오픈소스에서 더 선명하게 드러난 병목
이 병목은 오픈소스 프로젝트에서 특히 분명하게 나타난다. Anthropic은 Mythos Preview로 1,000개 이상의 오픈소스 프로젝트를 스캔해 전체 심각도 기준 23,019건의 발견 사항을 확인했다고 밝혔다.1
하지만 그중 패치된 것은 97건뿐이었다.1 이 숫자는 “발견”과 “수정” 사이의 간극을 보여준다. AI가 취약점을 더 많이 찾아낼수록, 실제 보안 수준을 결정하는 것은 다음 단계가 된다.
발견 사항이 실제 취약점인지 검증하는 능력
위험도와 영향 범위를 빠르게 판단하는 기준
유지보수자가 처리 가능한 형태로 보고서를 정리하는 과정
패치 작성, 리뷰, 배포, 적용 확인까지 이어지는 운영 체계
즉, AI가 보안팀의 일을 없애는 것이 아니라 보안팀과 개발팀이 처리해야 할 병목을 앞으로 당긴다.
왜 세부 취약점이 바로 공개되지 않는가
Anthropic은 Mythos Preview 결과를 상세히 공개하기보다 예시와 집계 통계를 우선 제공하고 있다.1 이는 단순한 비공개 전략이라기보다 취약점 공개 관행과 연결된다.
소프트웨어 업계에는 일반적으로 취약점 발견 후 90일 뒤 공개하는 관행이 있다.1 패치가 90일 이전에 만들어진 경우에는 패치 제공 후 약 45일 뒤 취약점을 공개하는 방식도 쓰인다.1
이 절차의 목적은 사용자가 업데이트할 시간을 확보하는 것이다. 세부 내용이 너무 빨리 공개되면 아직 패치하지 않은 시스템이 공격에 노출될 수 있다. Anthropic도 패치가 널리 배포된 뒤 Mythos Preview가 발견한 취약점에 대한 더 자세한 정보를 공개할 계획이라고 밝혔다.1
보안팀이 배워야 할 점
Mythos Preview가 보여준 결론은 분명하다. 앞으로 보안 경쟁력은 “얼마나 많이 찾는가”만으로 결정되지 않는다. 더 중요한 것은 발견된 취약점을 얼마나 빠르게 검증하고, 우선순위를 정하고, 실제 수정으로 연결하느냐다.
조직은 다음 질문을 점검해야 한다.
AI 기반 분석 도구가 만들어내는 대량의 발견 사항을 triage할 체계가 있는가?
고위험·치명적 취약점을 일반 버그와 분리해 처리하는 기준이 명확한가?
패치가 코드에 반영된 뒤 실제 배포와 적용 여부까지 확인하는가?
오픈소스 의존성에서 발견된 취약점을 추적하고 대응할 책임자가 정해져 있는가?
Claude Mythos Preview의 등장은 보안의 중심이 탐지에서 운영으로 이동하고 있음을 보여준다. AI가 취약점을 더 빨리 찾는 시대에는, 결국 조직의 실력은 발견 이후의 과정에서 드러난다.
이 노트는 보도·비평·교육·연구 목적으로 작성되었습니다. 저작권 문의가 있으시면 에서 알려주세요.