27년 된 버그를 하룻밤에 찾아낸 AI — 클로드 미토스가 세상을 긴장시킨 이유

밤새 소프트웨어 취약점을 찾아낸 AI — 클로드 미토스란?

2026년 4월, 앤트로픽(Anthropic)이 발표한 AI 모델 '클로드 미토스(Claude Mythos)'가 전 세계 보안 전문가들을 깜짝 놀라게 했습니다. 이 AI는 보안 전문가가 수주일 걸릴 작업을 하룻밤 만에 해냈는데요. 보안 교육을 받지 않은 엔지니어가 미토스에게 '취약점을 찾아줘'라고 요청했더니, 다음 날 아침 실제로 작동하는 해킹 코드가 완성된 상태로 나타났다고 합니다.

특히 눈길을 끄는 것은 미토스가 오픈BSD 운영체제에서 27년 동안 아무도 발견하지 못했던 버그를 찾아냈다는 사실입니다. 영상 처리 소프트웨어 FFmpeg에서도 16년 된 결함을 발굴했죠. 전문 보안 평가(CTF)에서는 전문가 수준 문제를 73% 성공률로 풀어냈는데, 2025년 4월 이전에는 어떤 AI도 이 수준에 도달하지 못했습니다.

너무 강력해서 공개 못 한다 — 프로젝트 글래스윙

앤트로픽은 미토스를 일반에 공개하지 않기로 결정했습니다. 이유는 단순합니다. '잘못된 손에 들어가면 너무 위험하기 때문'입니다. 전 세계 소프트웨어 취약점의 99% 이상이 아직 패치되지 않은 상태인데, 이를 자동으로 찾아 공격 코드를 만드는 AI가 누구에게나 열린다면 어떻게 될지 상상해보세요.

대신 앤트로픽은 '프로젝트 글래스윙(Project Glasswing)'이라는 선별적 접근 프로그램을 운영합니다. Amazon, Apple, Google, Microsoft, CrowdStrike, JPMorgan Chase 등 수십 개 핵심 기관만이 미토스의 제한 버전(Mythos Preview)을 활용할 수 있습니다. 이 기관들은 미토스를 이용해 취약점을 먼저 찾고 패치하는 '방어적 목적'으로만 사용하며, 앤트로픽은 오픈소스 유지보수자를 위해 별도로 4백만 달러 규모의 보안 지원 기금도 운영합니다.

한국과 뉴질랜드, 각자의 방식으로 대응 중

한국의 대응: 과학기술정보통신부는 미토스 발표 이후 이틀 만에 긴급 회의를 4차례 열었습니다. 네이버, 카카오, 쿠팡, SK하이닉스, 신한은행 등 40개 이상 주요 기관의 정보보호 책임자들이 소집됐습니다. SK텔레콤·KT·LG유플러스 등 통신 3사는 AI 기반 침입 탐지 시스템을 강화했고, 업계에서는 '해킹 지식이 없는 일반인도 국가급 공격 코드를 만들 수 있다'는 우려가 커지고 있습니다.

뉴질랜드의 상황: 뉴질랜드 정부통신보안부(GCSB)는 이미 '2026-2030 사이버보안 전략'을 발표하며 AI 기반 공격 위협을 공식 인정했습니다. GCSB는 뉴질랜드의 사이버 보안 성숙도가 '매우 불균일하다'고 평가했으며, 뉴질랜드 국가사이버보안센터(NCSC)는 공공 기관에 최소 보안 기준 준수를 의무화하는 방향으로 정책을 강화하고 있습니다. AI가 피싱·악성코드 생성을 자동화하면서, 뉴질랜드 중소기업까지 실질적 위협에 노출됐다는 점이 현장 보안 업체들의 공통된 경고입니다.

핵심 정리

클로드 미토스는 앤트로픽이 2026년 4월 공개한 AI로, 수십 년 된 소프트웨어 취약점을 자동으로 찾아내는 능력을 갖춤
위험성이 너무 높아 일반 공개 없이 '프로젝트 글래스윙' 선별 기관에만 제한 제공 중
한국 정부는 긴급 회의와 주요 기업 보안 점검으로 신속히 대응
뉴질랜드는 2026-2030 사이버보안 전략을 통해 AI 위협에 선제 대응 중
일반인도 소프트웨어 업데이트, 강력한 비밀번호, 2단계 인증 실천이 그 어느 때보다 중요해짐

마무리

클로드 미토스는 AI 기술이 얼마나 빠르게 발전하는지 보여주는 상징적인 사례입니다. 완벽한 방어는 없지만, 오늘 당장 소프트웨어를 업데이트하고 2단계 인증을 켜두는 것만으로도 당신의 디지털 생활을 훨씬 안전하게 지킬 수 있습니다.