앤트로픽 "미토스 도입 두 달도 안 돼 고위험 취약점 1만건 넘게 찾아"

앤트로픽은 AI 보안 도구 미토스 프리뷰가 두 달도 안 돼 중대·고위험 취약점 1만건 이상을 발견했다고 밝혔다. [사진: 셔터스톡]

[디지털투데이 AI리포터] 앤트로픽이 인공지능(AI) 보안 도구 '미토스 프리뷰'(Mythos Preview)를 통해 두 달도 채 되지 않는 기간 동안 중대급·고위험 보안 취약점 1만건 이상을 찾아냈다고 밝혔다.

25일(현지시간) IT 매체 테크레이더에 따르면, 앤트로픽은 최근 프로젝트 현황 업데이트를 통해 해당 도구를 사용한 약 50개 기관이 각각 수백 건의 취약점을 발견했다고 공개했다.

앤트로픽은 미토스 공개 이후 일부 기관의 버그 탐지 속도가 급격히 빨라졌다고 설명했다. 회사는 여러 사용 기관에서 기존보다 버그 탐지 속도가 10배 이상 증가했다고 밝혔으며, 사례로 클라우드플레어(Cloudflare)를 제시했다.

클라우드플레어는 핵심 경로 시스템 전반에서 2000건의 버그를 발견했고, 이 가운데 400건은 고위험 또는 중대 수준으로 분류됐다. 앤트로픽은 오탐 비율 역시 클라우드플레어 보안팀이 기존 인간 테스터보다 더 우수하다고 평가할 정도였다고 전했다.

공개된 수치 기준으로 미토스가 찾아낸 전체 취약점 추정치는 2만3019건이다. 이 가운데 앤트로픽은 6202건을 고위험 또는 중대 수준으로 분류했다. 또 이 중 1752건은 외부 보안 연구자들이 별도로 평가했으며, 약 90%가 실제 유효한 탐지로 확인됐다고 밝혔다. 외부 검증 대상 가운데 62.4%는 고위험 또는 중대 수준으로 인정됐다.

다만 앤트로픽은 취약점 세부 내용은 아직 공개하지 않았다. 일반적으로 취약점 정보는 사용자가 패치를 적용할 시간을 확보할 수 있도록 약 90일의 유예 기간을 둔 뒤 공개된다고 설명했다.

회사는 이번 발표에서 구체적인 사례보다는 일반적인 예시를 중심으로 도구 성능을 입증하는 데 초점을 맞췄다.

다만 시장의 긍정적 반응과 별개로 성과 해석을 둘러싼 신중론도 나온다. 일부에서는 AI 기반 취약점 탐지 자체는 이미 다른 시스템에서도 이뤄져 왔다고 보고 있다.

전문가들은 구글의 '빅 슬립'(Big Sleep) 사례 등을 언급하며, 실제 핵심 과제는 여전히 사람 중심의 운영 보안 체계에 있다고 지적했다.

학계에서도 비슷한 문제 제기가 이어졌다. 최근 공개된 '미토스 연계 버그 재발견 벤치마킹' 논문은 통제된 환경에서 GPT-5.5 같은 공개형 최첨단 모델 역시 미토스가 발견했다고 알려진 일부 취약점을 다시 찾아낼 수 있었다고 분석했다.

온라인 커뮤니티에서는 미토스가 질적으로 완전히 새로운 추론 능력을 갖췄다기보다, 대규모 연산 자원과 장시간 에이전트형 작업 흐름을 활용한 결과일 수 있다는 반응도 나왔다.

이런 상황에서 앤트로픽은 소프트웨어 취약점 대응의 병목 지점 자체가 바뀌고 있다고 주장했다. 회사는 이제 성과가 취약점 발견 속도보다 검증과 공개, 패치 적용 속도에 더 크게 좌우된다고 설명했다. 이는 AI가 탐지 단계 생산성을 끌어올리면서 실제 보안 대응 부담이 후속 절차로 이동하고 있다는 의미다.

향후 핵심 관전 포인트는 두 가지다. 첫째는 90일 유예 기간 이후 실제 취약점 사례와 영향 범위가 얼마나 구체적으로 공개될지 여부다. 둘째는 이번 대규모 탐지 성과가 다른 보안 조직에서도 동일한 수준으로 재현될 수 있는지다.

현재로서는 앤트로픽이 제시한 수치 자체가 상당한 규모라는 점은 분명하지만, 업계 평가는 실제 검증과 패치 결과가 축적된 이후 더욱 명확해질 전망이다.