핵심 요약
Anthropic과 약 50여 곳의 파트너사가 Claude Mythos Preview를 활용해 주요 소프트웨어에서 1만 개 이상의 고위험·치명적 취약점을 발견했습니다.
과거 보안의 큰 난제는 취약점을 찾는 것이었지만, 이제는 방대하게 발견된 취약점을 검증하고 공개하며 패치를 배포하는 과정 자체가 병목이 되고 있습니다.
많은 취약점이 보고되면서 오픈소스 메인테이너의 처리 역량이 한계에 부딪히고 있으며, 고위험 취약점 하나가 패치되는 데 평균 약 2주가 걸립니다.
Claude Mythos Preview는 일반 대중이나 일반 사용자가 바로 쓸 수 있는 제품이 아니며, 보안 위험 때문에 통제된 환경에서 제한적으로 활용되고 있습니다.
발견의 가속화, 그리고 패치의 지연
Anthropic이 2026년 5월 22일 발표한 Project Glasswing 초기 업데이트는 현재 보안 업계가 직면한 새로운 현실을 보여줍니다. 이 프로젝트의 핵심은 AI 모델이 기존 인간 연구자나 자동화 도구보다 빠르고 넓게 시스템 취약점을 찾아내기 시작했다는 점입니다.
다만 이 글의 초점은 AI가 버그를 많이 찾았다는 사실 자체가 아닙니다. 더 중요한 변화는 취약점 발견 속도가 검증, 공개, 패치 개발, 배포 운영의 속도를 앞지르기 시작했다는 점입니다.
AI로 폭증한 취약점 발견 규모
Anthropic은 파트너사들의 결과와 별개로, 자체적으로 1,000개 이상의 오픈소스 프로젝트를 스캔했습니다. 이 과정에서 Claude Mythos Preview는 23,019건의 잠재적 취약점을 찾아냈고, 이 중 6,202건이 고위험(High) 또는 치명적(Critical) 수준으로 추정되었습니다.
여기서 중요한 것은 AI가 찾은 결과물이 모두 즉각적인 위협이나 확정 CVE는 아니라는 점입니다. 독립적인 보안 연구 기관 6곳과 Anthropic이 1,752건의 고위험군 의심 사례를 면밀히 검증한 결과는 다음과 같습니다.
23,019건. AI가 탐지한 전체 잠재적 문제입니다.
6,202건. 심각한 문제로 분류된 1차 필터링 결과입니다.
1,752건. 전문가가 직접 분석한 샘플 수입니다.
90.6%. 오탐(False Positive)이 아닌 실제 존재하는 버그로 확인된 비율입니다.
62.4%. 표본 검증 안에서 실제 보안상 심각한 문제로 확인된 비율입니다.
이 검증 비율을 전체 추정치에 대입하면, Anthropic은 이번 프로젝트가 약 3,900건에 가까운 고위험·치명적 오픈소스 취약점으로 이어질 수 있다고 보고 있습니다. 발견, 추정, 검증, 공개, 패치 상태를 분리해서 읽어야 하는 이유입니다.
발견에서 패치까지: 숫자가 말하는 현실
AI를 통해 취약점을 찾는 속도는 놀랍지만, 이를 해결하는 속도는 여전히 전통적인 한계에 머물러 있습니다. Anthropic이 현재까지 오픈소스 메인테이너에게 조용히 공개한 고위험·치명적 버그는 530건입니다. 하지만 이 중 실제 패치가 완료된 것은 75건, public advisory가 나온 것은 65건입니다.
많은 오픈소스 메인테이너가 한 번에 쏟아지는 취약점 리포트를 감당하지 못해 Anthropic 측에 통보 속도를 늦춰달라고 요청했습니다.
심각한 버그 하나를 패치하는 데 평균 약 2주가 걸립니다. 예시로 wolfSSL 취약점 CVE-2026-5194가 언급됐지만, 세부 기술 분석은 패치 배포가 충분히 이뤄진 뒤 공개될 예정입니다.
이 간극을 줄이기 위해 Anthropic은 기업 고객을 대상으로 Claude Security public beta를 운영 중이며, 최근 출시된 Claude Opus 4.7을 활용해 출시 후 3주 동안 2,100개 이상의 취약점을 패치하는 데 사용했다고 설명합니다.
보안 자동화의 한계와 검증의 필요성
Cloudflare와 Mozilla 등 프로젝트 파트너사들의 경험에 따르면, AI를 보안에 적용하는 것은 단순히 챗봇에 코드를 던져주는 수준이 아닙니다.
일반적인 코딩 에이전트 방식만으로는 의미 있는 보안 분석을 안정적으로 운영하기 어렵습니다. 병렬 작업, 교차 검증, 중복 제거, 추적 보고 기능을 갖춘 정교한 자동화 파이프라인이 필요하고, AI가 제안한 패치도 기존 시스템과의 충돌이나 성능 저하를 막기 위한 검토와 테스트를 거쳐야 합니다.
Nullnote 인사이트
이 발표는 단순히 "새로운 AI가 버그를 많이 찾았다"는 뉴스 이상의 시사점을 줍니다. 시간이 지나도 남을 변화와 기업이 당장 점검해야 할 요소를 기준으로 보면 다음 세 가지가 핵심입니다.
1. 진짜 변화: 비대칭의 역전에서 운영의 한계로
과거에는 공격자가 취약점을 하나 찾는 노력과 방어자가 시스템을 훑어보는 노력 사이에 비대칭이 존재했습니다. AI는 탐지 비용을 크게 낮췄습니다. 하지만 그 결과 시스템을 유지보수하는 인간의 물리적 시간, 검증 체계, 배포 절차가 새로운 병목으로 떠올랐습니다.
아무리 AI가 패치 코드를 제안해도, 이를 검토하고 서비스 영향도를 판단하며 장애 없이 배포하는 것은 여전히 조직 운영의 문제입니다.
2. 생태계에 미치는 실질적인 영향
오픈소스 생태계는 특히 큰 압박을 받을 수 있습니다. 대형 IT 기업은 AI를 활용해 자사 소프트웨어를 빠르게 점검하고 패치할 자본과 인력이 있지만, 소규모 자원봉사자로 유지되는 주요 오픈소스 프로젝트는 밀려드는 AI 생성 리포트를 처리하기 어렵습니다.
이는 오픈소스 기반 인프라를 쓰는 기업의 공급망 보안 문제로도 이어집니다. Microsoft와 Oracle 같은 기업이 패치 관리와 클라우드 기반 보안 업데이트 운영을 강조하는 것도 같은 맥락에서 볼 수 있습니다.
3. 독자가 지금 행동해야 할 것과 피해야 할 것
우리 회사가 어떤 오픈소스와 시스템을 쓰고 있는지 자산 목록을 최신화해야 합니다. 무엇을 쓰는지 모르면 패치 우선순위도 잡을 수 없습니다.
취약점 발표 후 얼마나 빨리 업데이트할 수 있는지, 실패 시 롤백 절차가 마련되어 있는지 확인해야 합니다.
1만 개라는 숫자가 곧바로 모든 항목에 CVE 번호가 부여됐거나 즉각적인 해킹 통로라는 뜻은 아닙니다. 발견, 추정, 검증, 패치 상태를 구분해야 합니다.
AI가 제안한 해결책을 바로 운영 환경에 적용하는 것은 시스템 장애를 만들 수 있습니다. 스테이징 테스트와 승인 절차가 필요합니다.
4. 앞으로 지켜볼 관전 포인트
앞으로의 핵심은 업계 표준과 운영 절차가 어떻게 바뀌는지입니다. 취약점 공개와 패치 배포 일정이 AI 발견 속도에 맞춰 조정될지, AI가 만든 패치를 어느 수준까지 자동 승인할 수 있을지, 그리고 오픈소스 메인테이너에게 어떤 지원 구조가 생길지가 중요합니다.
5. 마무리하며
기술의 발전은 새로운 형태의 부채를 만듭니다. AI가 숨겨진 시스템의 구멍을 빠르게 찾아내는 시대에는, 기업의 보안 역량 기준이 누가 더 빨리 취약점을 찾는가에서 누가 더 안전하고 신속하게 패치를 배포할 수 있는가로 넘어갑니다.
이번 Project Glasswing 업데이트를 기업 보안팀이 읽는 방식은 명확합니다. AI 보안 도구를 먼저 사는 것보다, 자산 목록, 패치 책임자, 검증 환경, 롤백 절차, 배포 우선순위를 먼저 정비해야 합니다.
관련 글로 이어가기
ChatGPT Workspace Agents 브리핑은 AI가 실제 업무 시스템에 접근할 때 권한과 승인 구조를 어떻게 봐야 하는지 연결해서 읽기 좋습니다.
클라우드 AI와 로컬 AI 문서 보안은 민감 자료를 AI 도구에 올릴 때의 기본 경계선을 정리합니다.
AI 답변 출처 확인 체크리스트는 AI가 만든 결과를 그대로 믿지 않고 확인하는 기준을 잡을 때 유용합니다.
참고 자료
- 공식 출처 보기 → Anthropic: Project Glasswing: An initial update
- 프로젝트 배경 보기 → Anthropic: Securing critical software for the AI era
- 보안성 평가 보기 → Anthropic Frontier Red Team: Assessing Claude Mythos Preview
- 파트너 사례 보기 → Cloudflare: Project Glasswing: what Mythos showed us
- 파트너 사례 보기 → Mozilla: The zero-days are numbered
- 운영 사례 보기 → Mozilla Hacks: Hardening Firefox with Claude Mythos Preview
- 관련 맥락 보기 → Microsoft MSRC: A note on Patch Tuesday
- 관련 맥락 보기 → Oracle: Accelerating Vulnerability Detection and Response