앤트로픽 '프로젝트 글래스윙', 한 달 만에 핵심 취약점 1만 개 찾아내

한 달 만에 1만 개 취약점 쏟아낸 AI

사이버 보안 업계에서 소프트웨어 취약점은 늘 발견하기 어렵고 귀한 정보였습니다. 보안 연구원들이 몇 주씩 코드를 분석해도 치명적인 제로데이 취약점을 한두 개 찾아내기 힘든 것이 오랜 현실이었습니다.

Anthropic이 시작한 보안 프로젝트인 'Project Glasswing'의 첫 성과 보고는 이 상식을 완전히 뒤흔들었습니다. Anthropic이 아직 외부에 정식 출시하지 않은 Claude Mythos Preview 모델을 약 50개 협력사와 함께 실전에 투입한 결과, 불과 한 달 만에 전 세계 핵심 소프트웨어에서 1만 개 이상의 '높음' 및 '치명적' 등급 취약점을 찾아냈습니다.

참여 기업들의 수치는 놀라운 수준입니다. Cloudflare는 핵심 인프라에서만 2,000건의 버그를 찾아냈고, 이 중 400건이 고위험군이었습니다. 특히 거짓 양성(오탐) 비율은 숙련된 사람 테스터보다 낮았다고 밝혔습니다. Mozilla 역시 Firefox 150 테스트에서 271건의 취약점을 고쳤는데, 이는 이전 Claude Opus 4.6 때보다 10배 이상 많은 수치입니다. 영국 AI 안전 연구소의 평가에서도 Mythos Preview는 다단계 사이버 공격 시뮬레이션을 처음부터 끝까지 혼자 풀어낸 최초의 모델로 기록되었습니다.

보고는 쏟아지는데 고칠 사람이 없다

문제는 취약점을 찾아내는 속도가 인간이 이를 검증하고 패치하는 속도를 완전히 압도하기 시작했다는 점입니다.

Anthropic은 인터넷 인프라의 뼈대를 이루는 1,000개 이상의 오픈소스 프로젝트를 스캔했습니다. 그 결과 고위험 및 치명적 취약점으로 추정되는 결함만 6,202개를 발견했습니다. 외부 전문 보안 업체들이 샘플 1,752건을 직접 검증해 본 결과 90.6%가 실제 유효한 취약점이었고, 62.4%는 실제로 심각한 수준임이 확인되었습니다. 전 세계 수십억 개 기기에 탑재된 암호화 라이브러리인 wolfSSL에서 위조 인증서를 만들어 웹사이트를 변조할 수 있는 취약점(CVE-2026-5194)까지 찾아냈을 정도입니다.

하지만 오픈소스 관리자들의 작업 환경은 이미 마비 상태입니다. Anthropic이 관리자들에게 공식 통보한 고위험 취약점 530건 중 패치가 완료된 것은 75건에 불과합니다. 치명적 버그 하나를 패치하는 데 평균 2주일이 걸리다 보니, 일부 관리자들은 제발 취약점 제보 속도를 늦춰달라고 호소하고 있습니다.

왜 중요한가

우리는 이번 발표가 AI 시대 사이버 보안의 병목 현상이 '탐지'에서 '수정'으로 완전히 이동했음을 명확히 보여준 사례라고 생각합니다.

기업 보안팀이나 소프트웨어 개발자에게 Mythos급 AI는 지금까지 없던 가장 정밀한 보안 검사 도구입니다. 하지만 문제는 패치 역량입니다. 버그를 짚어내는 비용은 거의 0으로 떨어졌지만, 기존 코드와의 호환성을 검증하고 패치를 작성해 배포하는 일은 여전히 사람의 손에 묶여 있습니다. 가뜩이나 인력난에 시달리는 오픈소스 프로젝트에 수천 건의 실제 결함이 쏟아져 들어오면 개발 생태계 자체가 번아웃에 빠질 위험이 큽니다.

산업 전체로 보면 더 아슬아슬한 카운트다운이 시작된 것으로 보입니다. 지금은 Anthropic이 90일 공개 유예 정책을 지키며 우호적인 기업들과 방어 목적으로 테스트하고 있지만, 이 수준의 모델 역량은 머지않아 공격자들의 손에도 들어갈 수밖에 없습니다. 방어 진영이 자동 패치 기술을 확보해 배포 속도를 획기적으로 끌어올리지 못한다면, 머신 속도로 공격 무기를 찍어내는 적들을 상대로 심각한 불균형에 직면하게 될 것입니다.