[보안 칼럼] 미국 국가 안보국 NSA의 앤트로픽 미토스, 마이크로소프트...

백세현 엔피코어 해외전략이사

전세계에 사이버보안 공포를 몰아온 앤트로픽 클로드 미토스는 이미 “운용”의 단계로 넘어가 있다. 2026년 4월 30일 블룸버그(Bloomberg)는 제이크 블라이버그(Jake Bleiberg)의 단독 바이라인으로 미국 국가안보국(NSA)이 앤트로픽의 미토스 모델을 사용해 마이크로소프트 제품을 비롯한 광범위한 상용 소프트웨어의 보안 결함을 찾고 있다고 보도했다.   블룸버그가 인용한 미국 정부 관계자와 사정에 정통한 소식통의 표현을 그대로 옮기면, NSA 사이버보안국(Cybersecurity Directorate) 직원들을 포함한 인력이 “마이크로소프트 프로그램과 다른 회사들의 널리 사용되는 소프트웨어의 보안 결함을 찾는 미토스의 능력을 시험하고 있다“는 것이다. 다른 회사들이 어디인지 블룸버그는 확인해 주지 않았다.

NSA 내부 평가도 함께 새어 나왔다. 미토스 모델을 들여다본 NSA 관계자들은 “잠재적 보안 결함을 탐색하는 속도와 효율성에 깊은 인상을 받았다.”고 전했다. NSA는 미토스가 내놓은 결과를 자체 도구·프로세스의 결과와 비교하고 있다고도 적시되어 있다. 마이크로소프트는 블룸버그의 질의에 직접 답하는 대신 이메일 성명으로 “우리는 정부 고객과 긴밀히 협력해 플랫폼을 지속적으로 견고화하고, 깊은 전문성과 첨단 기술, 그간의 교훈을 적용해 변화하는 위협에 대응한다“고만 답했다. NSA와 앤트로픽은 모두 노코멘트로 일관했다.   마이크로소프트는 미토스 접근 권한을 가진 12개 공식 출시 파트너 중 하나라는 점에서, 이 짧은 성명의 톤은 의미심장하다.

이전 4월 13일자 데일리시큐 보안칼럼에서 나는 미토스가 “발견할 수 있다”는 사실 자체에 초점을 맞췄다. 지금의 상황은 다르다. 세계에서 가장 공격적인 시긴트(SIGINT) 기관이, 그 모델을 가지고, 자국 빅테크가 만든 코드의 결함을 사실상 산업 규모로 사냥하기 시작한 것이다. 발견에서 운용으로 한 단계 나아간 이 변화는, 단순히 한 정부기관이 신형 도구를 도입한 것 이상의 의미를 갖는다. 사이버 안보의 권력 구도가 어디로 이동하고 있는지, 그리고 한국처럼 미국 빅테크 스택 위에 거의 모든 행정·금융·공공 시스템을 올려둔 국가들은 과연 어떤 위치에 놓이게 되는지를 다시 묻게 만든다.

미국 펜타곤은 블랙리스트, NSA는 사용

NSA가 미토스를 운용하고 있는 그 시간에 미국의 펜타곤, 즉 국방부는 앤트로픽을 공급망 위협으로 분류하고 있다는 사실이다. 액시오스(Axios)는 2026년 4월 19일, 마리아 큐리(Maria Curi)와 샘 새빈(Sam Sabin)의 공동 바이라인으로 “특종: 미국 국방부는 블랙리스트 시킨 앤트로픽의 미토스를 정작 사용하고 있는 NSA”이라는 기사를 내놓았다. 두 명의 익명 소식통을 인용해, “NSA가 앤트로픽의 가장 강력한 모델인 미토스 프리뷰를 사용하고 있으며, 이는 NSA를 관할하는 국방부의 고위 관계자들이 앤트로픽을 ‘공급망 위협’으로 못박은 와중에 일어나고 있는 일”이라고 적었다.  같은 보도에서 “NSA가 미토스를 정확히 어떻게 쓰고 있는지는 분명치 않다“고 솔직하게 덧붙이기도 하였다.

블룸버그·CNBC 등의 보도를 종합하면, 펜타곤은 2026년 2월부터 앤트로픽 사용을 끊어내기 시작했고,  3월 5일경 정식으로 공급망 위협 지정을 내렸다. 피트 헤그세스 국방장관은 X(이전 트위터)에 국방부가 6개월 안에 앤트로픽 서비스에서 멀리하겠다고 적었고,  트럼프 대통령은 트루스 소셜에 “즉시 앤트로픽 기술의 모든 사용을 중단“하라고 명령했다.  이후 앤트로픽은 펜타곤을 상대로 소송을 걸었고, 캘리포니아 북부지방법원의 리타 린 판사는 3월 말 펜타곤의 지정 시행을 막는 명령을 냈다. 판결문에서 그는 “국방부의 기록은 앤트로픽이 ‘언론을 통해 적대적 방식으로’ 행동했다는 이유로 공급망 위협으로 지정됐음을 보여 준다. 정부의 계약 입장에 공적 감시를 끌어들였다는 이유로 앤트로픽을 처벌하는 것은 전형적인 위법한 수정헌법 1조 보복“이라고 적었다.

테크크런치는 4월 20일 레베카 벨란의 후속 기사에서, 앤트로픽이 미토스 접근권을 부여한 약 40개 기관 중 12곳만 공식 명단으로 공개했고 NSA는 비공개 수령 기관 중 하나로 보인다고 적었다. 같은 보도는 NSA가 미토스를 주로 “악용 가능한 취약점을 찾기 위해 환경을 스캔하는 용도“로 쓰고 있다고 덧붙였다.  영국의 AI 보안연구소도 접근 권한을 가지고 있다는 점, 그리고 다리오 아모데이 앤트로픽 CEO가 액시오스 보도 직전 백악관 비서실장 수지 와일스, 재무장관 스콧 베센트와 회동했다는 점도 기록되어 있다.

며칠 뒤인 4월 29일, 액시오스는 또 다른 보도를 내놓았다. 트럼프 행정부가 앤트로픽을 다시 연방기관으로 끌어들이기 위한 가이던스 초안을 작성 중이며, 그 가이던스는 펜타곤의 공급망 위협 지정을 우회해 미토스를 비롯한 앤트로픽 모델을 정부기관이 도입할 수 있도록 하는 내용이라는 것이다. 같은 무렵 월스트리트저널은 백악관이 앤트로픽의 미토스 확대 배포 계획에 반대하고 있다고 보도했고,  블룸버그는 그 후속 기사에서 한 정부 관계자의 말을 빌려 “트럼프 대통령 행정부 구성원들이 앤트로픽 측에 약 70개 기업·기관에 미토스 접근권을 부여하려는 회사 계획에 동의하지 않는다고 통보했다“고 옮겼다. 백악관이 갖는 우려는 크게 두 가지로, 하나는 오용 가능성, 또 하나는 앤트로픽의 컴퓨팅 자원 한계가 정부 자체의 모델 사용 능력을 잠식시킬 수 있다는 점이었다.

여기에서 알 수 있는 것은 단순한 정부 부처 간 이견의 문제가 아니다. 미국 행정부는 같은 모델을 두고 한 편으로는 공급망 위협으로 분류해 군에서 쫓아내면서도 또 다른 한편으로는 가장 민감한 시긴트 기관에 들여보내 민간 확산은 막으려는 다소 모순된 모습을 보여 주고 있는 것이다. 어찌보면 이런 모순적인 모습은 아직 미국조차도 미토스급 인공지능의 능력을 어떻게 다뤄야 할지에 대해 합의에 이르지 못했다는 것을 보여주는 것이기도 하다. 이런 합의의 부재는 동맹국들에게도 그대로 전이될 수 있는 외부 변수인 셈이다.

미토스가 마이크로소프트 코드에서 무엇을 찾는가

미토스가 마이크로소프트 코드에 무엇을 할 수 있는지 가늠하려면, 앤트로픽 자신이 공개한 평가 자료와 영국 AI 보안연구소(AISI)의 독립 평가를 함께 고려할 필요가 있다. 앤트로픽 프런티어 레드팀의 공식 자료에서는 미토스 프리뷰가 “사용자가 지시할 경우 모든 주요 운영체제와 모든 주요 웹 브라우저에서 제로데이 취약점을 식별하고 악용할 수 있다”고 적고 있다. 동일 자료는 OpenBSD에서 발견된 27년 묵은 SACK TCP 결함,  FreeBSD에서 발견돼 CVE-2026-4747로 지정된 17년 된 NFS 원격 코드 실행 취약점, FFmpeg에서 발견된 16년 된 H.264 코덱 결함을 사례로 든다. 이 결함은 기존 5백만 회의 자동 테스트가 놓친 것이었다.  모질라 파이어폭스 150 한 단일 케이스에서 미토스 프리뷰는 271개의 결함을 찾아냈다.  같은 벤치마크에서 한 세대 전 모델인 클로드 오푸스(Opus) 4.6은 22개의 결함을 찾아내는데 그친 바 있다.

자동 익스플로잇 생성 능력의 차이는 더 분명히 드러난다. 같은 자료에 따르면 오퍼스 4.6은 파이어폭스 147 자바스크립트 엔진의 취약점을 자바스크립트 셸 익스플로잇으로 변환하려는 수백 회 시도 중 단 두 번 성공했지만, 미토스 프리뷰는 같은 실험에서 “181회의 작동하는 익스플로잇을 만들고, 추가로 29회는 레지스터 제어를 달성했다.” 모델이 한 세대 만에 거의 90배의 능력 차이로 도약했다는 의미다. 더욱 소름끼치는 수치는 따로 있다. 앤트로픽은 “지금까지 우리가 발견한 취약점의 99% 이상이 아직 패치되지 않았기 때문에, 그 세부를 공개하는 것은 무책임할 것”이라고 적었다. 모델 한 대가 사실상 산업 전체보다 빠르게 결함을 만들어 내고 있다는 자백이다.

영국 AISI의 평가는 그 능력을 다른 각도에서 확인해 준다. AISI 블로그(aisi.gov.uk)는 미토스 프리뷰가 “2025년 4월 이전에는 어떤 모델도 풀지 못했던 전문가급 과제에서 73%의 성공률을 기록”했다고 적었다.   AISI가 자체 구축한 32단계 기업 네트워크 침투 시뮬레이션 “The Last Ones(TLO)“에서, 미토스 프리뷰는 처음부터 끝까지 시뮬레이션을 완수한 첫 번째 모델이 됐다. 10회 시도 중 3회 완수, 평균 32단계 중 22단계 도달이라는 수치다. AISI는 인간 전문가가 약 20시간 걸리는 작업이라고 추정하고 있다. 차세대 모델인 오퍼스 4.6은 같은 작업에서 평균 16단계에서 멈췄다.

이 능력이 마이크로소프트 코드에 적용된다는 사실은 무엇을 의미하는 걸까. 윈도우 커널, 익스체인지(Exchange), 셰어포인트(SharePoint), M365, 액티브 디렉터리, 애저(Azure)로 이어지는 마이크로소프트 스택은 코드 라인 수, 의존성, 사용자 수 어느 기준으로 봐도 세계에서 가장 큰 단일 공격 표면이다. 블룸버그는 NSA가 어떤 마이크로소프트 제품군을 구체적으로 다루고 있는지 적시하지 않았고, 따라서 여기에서 그것을 단정하기는 어렵다. 다만 미토스가 OpenBSD에서 27년 묵은 결함을, FreeBSD에서 17년 묵은 결함을, FFmpeg에서 16년 묵은 결함을 끌어낸 모델이라는 점은, 마이크로소프트의 레거시 코드베이스(윈도우 NT 시절부터 누적된 수십 년의 잔재)가 이 모델 앞에서 안전할 가능성이 매우 낮음을 의미한다. 미토스의 방법론은 컨테이너에서 분리된 환경에 코드를 띄우고, 클로드 코드(Claude Code) 에이전트에게 “이 프로그램에서 보안 취약점을 찾아 달라”는 한 줄짜리 프롬프트를 던진 뒤, 모델이 가설을 세우고 실제로 실행해 검증하고 디버거를 붙이는 작업을 자율적으로 반복하게 두는 단순한 구조다. 이 단순한 구조에 인간 감사가 수십 년 동안 놓친 패턴이 누적된 코드베이스가 만나면, 어떤 결과가 나오는지 앤트로픽 스스로가 보여 준 셈이다.

공개해야 해, 말아야 해? 디스클로저 딜레마와 비대칭의 의미

NSA가 이 능력을 갖게 됐을 때 무엇이 가능한가. 두 가지 갈래로 갈라진다. 한쪽은 방어다. 미국 정부가 자국 기업과 동맹의 코드에서 결함을 먼저 찾아 패치하도록 흘려보내는 시나리오. 다른 한쪽은 공격이다. 발견된 결함을 공개하지 않고 보존해 정보 작전과 사이버 작전의 자산으로 쓰는 시나리오. 두 갈래를 가르는 제도적 장치가 미국의 취약점 형평성 절차(Vulnerabilities Equities Process, VEP)다. 2017년 트럼프 1기 백악관이 헌장을 공개한 이 절차는 정부가 발견한 제로데이를 공개할지 보유할지 부처 간에 심의해 결정하는 메커니즘이다. 그러나 이 절차는 NSA 정보보증국 산하 사무국이 운영해 왔다는 점에서 정보·국방 편향이라는 비판을 처음부터 받아 왔고, 2017년 워너크라이(WannaCry)와 낫페트야(NotPetya)로 이어진 이터널블루(EternalBlue) 보유 사례 이후 신뢰 손상을 회복하지 못했다. 2017년 헌장 이후 의미 있는 정량 보고서도 사실상 부재하다.

이 절차가 인간의 속도에 맞춰 만들어졌다는 점은, AI 시대에 가장 치명적인 한계다. 미토스가 한 달에 수천 건의 고·심각도 결함을 산업 규모로 만들어 내는 환경에서, 사례별 부처 심의를 거쳐 디스클로저 여부를 결정한다는 발상은 작동할 수 없다. 미국 육군대학(WAR ROOM)에 게재된 에이미 고디언의 분석은 이 한계를 일찍부터 지적했다. 미토스 사건은 이 분석을 현실로 옮긴다. NSA는 모델이 토해 내는 결과 중 무엇을 마이크로소프트에 알리고 무엇을 보존할지 결정해야 한다. 그 결정의 일부는 마이크로소프트가 자기 코드의 결함을 미국 정부보다 늦게 알게 되는 비대칭으로 귀결된다.

이 비대칭은 마이크로소프트 한 회사의 문제가 아니다. 마이크로소프트가 알기 전에 NSA가 안다는 것은, 마이크로소프트의 패치를 받는 모든 고객, 가령 한국 정부, 한국 은행, 한국 병원, 한국 통신사, 그리고 미국의 동맹과 적성국 모두가 이 마이크로소프트보다도 늦게 알게 된다는 뜻이다. 패치 사이클의 출발점인 벤더가 자기 코드의 결함을 모르는 상태로 운영되는 시간이 길어질수록, 같은 결함을 다른 경로로 즉 다른 모델, 다른 연구자, 다른 정보기관을 통해 발견한 행위자가 그것을 무기화할 시간이 늘어난다는 의미이다. 맨디언트 M-Trends 2026 보고서가 보여 주는 평균 악용 소요 시간(time-to-exploit)은 2018년 63일에서 2024년 -1일을 거쳐 2025년 -7일로 떨어졌다. 평균적으로 패치가 나오기 전에 악용이 시작되고 있다는 뜻이다.  미국 CISA의 알려진 악용 취약점(KEV) 카탈로그는 2025년 한 해에만 245건이 추가됐고, 누적 1,484건에 도달했다. 벤더별로 보면 마이크로소프트가 39건으로 1위였다. 물론 이 수치는 미토스 본격 운용 이전의 풍경이라는 것이고 그렇다면 미토스가 가져올 수치는 악몽적 상상에 맡기겠다.

미토스 글라스윙 파트너이자 분석 표적

마이크로소프트의 포지션이 이 상황에서 참 애매하다. 마이크로소프트는 앤트로픽의 프로젝트 글라스윙(Project Glasswing) 12개 공식 출시 파트너 중 하나로, 미토스 프리뷰에 직접 접근할 권리를 갖는다. 동시에 같은 모델이 자신의 코드를 들여다보는 분석 표적이기도 하다. 협력과 감시의 이중 관계는 마이크로소프트 같은 거대 벤더가 AI 시대 보안 거버넌스에서 차지하는 위치를 압축적으로 보여 준다. 마이크로소프트 본사는 글라스윙의 일원으로서 미토스를 자기 코드에 돌려 결함을 선제적으로 잡고 있을 가능성이 높다. 그러나 NSA가 같은 모델로 같은 코드를 들여다보는 한, 누가 먼저 무엇을 발견했는지에 대한 비대칭은 마이크로소프트가 통제할 수 없는 변수로 남는다.

블룸버그가 마이크로소프트 대변인의 입을 빌려 “정부 고객과 긴밀히 협력해 플랫폼을 지속적으로 견고화한다”는 모호한 성명을 받아 낸 것은, 이 묘한 위치를 직접 건드리지 않으려는 외교적 화법으로 봐도 무방하다. 같은 보도가 적시했듯, 마이크로소프트는 “NSA가 자기 제품에 대해 수행하는 작업에 관한 질의에 직접 답하지 않았다.” 직접 답할 수 없는 질문이라는 점을 마이크로소프트 자신이 가장 잘 알고 있을 것이다. 자국 시긴트 기관이 자국 코드의 결함을 산업 규모로 사냥하는 시대에, 빅테크 벤더는 협력자이자 분석 표적이라는 두 자리에 동시에 앉아 있을 수밖에 없다. 마이크로소프트 외 글라스윙 출시 파트너인 AWS, 애플, 브로드컴, 시스코, 크라우드스트라이크, 구글, JP모건체이스, 리눅스 재단, 엔비디아, 팔로알토네트웍스도 그렇게 마음 편안한 상황은 아니다. 다리오 아모데이 자신이 백악관 비서실장과 재무장관과 회동을 가졌다는 사실은, 글라스윙이 단순한 기업 간 협업이 아니라 사실상 미국 사이버 산업정책의 부속품으로 작동하기 시작했음을 시사한다.

이런 폐쇄성은 지속 가능할까?

앤트로픽은 미토스 프리뷰를 일반 공개하지 않겠다고 명시적으로 선언했다. 글라스윙 출시 파트너 12곳에 더해 핵심 소프트웨어 인프라를 만들거나 유지하는 40여 곳의 추가 기관,  그리고 영국 AI 보안연구소와 미국 사이버보안 인프라 보호국(CISA)·미국 AI 표준혁신센터(CAISI) 같은 정부 평가기관에만 접근 권한이 부여됐다. 회사는 글라스윙에 1억 달러의 사용 크레딧과  오픈소스 보안에 4백만 달러의 직접 기부를 약속했다. 명시적 메시지는 “이 모델은 너무 위험해서 풀어 둘 수 없다”는 것이다. 카시 뉴턴이 플랫포머에 적었듯, “글라스윙은 매우 불편한 전제 위에 세워져 있다. 즉 위험한 AI 모델로부터 우리를 보호할 유일한 방법은 그 모델을 먼저 만드는 것이라는 전제.”

문제는 이 폐쇄성이 얼마나 지속될 수 있는가이다. 백악관이 70여 기관 추가 접근에 제동을 건 것은 폐쇄의 경계를 더 좁히려는 취지이다. 그러나 모델 자체가 폐쇄돼 있을 뿐, 방법론은 거의 모두 공개되어 있다. 컨테이너로 격리된 환경, 에이전틱 LLM, 단순한 자연어 프롬프트, 디버거 자율 사용, 멀티에이전트 파일별 분담, 최종 검증 에이전트로 이어지는 미토스의 스캐폴딩(scaffolding)은 앤트로픽 자신의 레드팀 블로그에 그대로 적혀 있다.  AISI가 적었듯, 비슷한 능력을 가진 다른 프런티어 모델이 등장하는 것은 시간문제다. 앞서 11월 앤트로픽이 공개한 GTG-1002 사건에서 중국 국가후원 그룹이 클로드 코드의 에이전틱 능력을 악용해 약 30개 글로벌 표적에 대해  작전의 80~90%를 자율 수행 하게 한 사례를 기억하는가. 비공개는 어차피 지속 가능하지 않음을 잘 드러낸 사건이다.

폐쇄의 또 다른 균열은 인접 모델에서 온다. 모스크바와 베이징은 자기 모델에 같은 방법론을 적용할 동기와 인력 모두 갖고 있다. 시스코 로버스트 인텔리전스의 평가에서 딥시크 R1은 HarmBench 테스트에서 100%의 탈옥(jailbreak) 성공률을 기록했고, AppSOC와 PointGuard 리서치 평가에서도 R1과 큐원(Qwen)은 멀웨어 생성·프롬프트 인젝션 차단에 거의 무력했다. 두 모델 모두 미토스급 취약점 발견 능력을 갖췄다는 증거는 아직 없다. 그러나 두 모델의 가드레일이 사실상 작동하지 않는다는 점, 오픈소스로 풀려 있다는 점, 그리고 사이버스쿠프(CyberScoop) 인터뷰에서 일부 전문가가 GTG-1002의 자율성 정도가 작업별로 크게 다르다고 지적한 점을 합치면, 미토스 방법론이 통제 불가능한 모델 위에서 재구현될 시점이 언제냐는 문제로 좁혀진다. 영국 NCSC, 즉 국가사이버보안센터가 2025년 사이버UK 보고서에 “프런티어 AI는 기존 취약점의 발견과 악용을 빠르게 규모 있게 가능하게 하고 있다”고 적은 바 있다.  NCSC 보고서는 “AI는 거의 확실히 취약점 공개와 악용 사이의 시간을 더 단축시킬 것”이라고 적었고, 패치되지 못한 조직과 그렇지 못한 조직 사이의 “디지털 격차(digital divide)“가 심화될 것이라고 경고했다.

이것이 한국 보안에게 의미하는 바

이 흐름이 한국에 무엇을 의미하는지로 들어가기 전에, 한국 보안 실무자가 가장 먼저 새삼스럽게 인정해야 할 점은 한국의 행정·금융·공공 핵심 시스템은 윈도우, 액티브 디렉터리, 익스체인지/M365, 애저, 시스코, VM웨어, 오라클로 이어지는 미국산 스택 위에 구축돼 있고, 이 스택의 단일 패치 사이클이 사실상 한국의 국가 패치 사이클을 결정한다. 이 의존도는 가치 판단의 문제가 아니라 운영 현실이다. 2025년 9월 금융보안원이 보안관제시스템을 마이크로소프트 애저 서울 리전과 오라클 클라우드 인프라스트럭처(OCI) 서울 리전에 동시 구축하면서 침입탐지에 시스코 FTDv를, 트래픽 분석에 스플렁크(Splunk)를 연동했다는 한 신문 매체 보도는 이 의존도가 핵심 보안 인프라까지 확장됐다는 것을 보여 주는 단편이다. 클라우드보안인증(CSAP) 등급 정책이 2025년 트럼프 행정부의 통상 압박 속에서 ‘중’ 등급 개방 논의로 이어지는 흐름은, 이 의존도가 더 깊어질 가능성을 가리킨다.

이 환경에서 NSA가 미토스로 마이크로소프트 코드에서 결함을 사냥하기 시작했다는 사실은, 한국에 두 가지 비대칭을 만든다. 첫째, 정보 비대칭이다. 한국 정부와 기업은 마이크로소프트의 패치 노트를 받아 보는 위치에 있을 뿐, 그 패치가 무엇을 막는지를 마이크로소프트가 NSA를 통해 알게 됐는지, 마이크로소프트 자신이 발견한 것인지, 한국이 직접 알아내기가 쉽지 않다. 둘째, 시간 비대칭이다. 미토스급 모델이 만들어 내는 익스플로잇은 KEV 카탈로그에 들어오기 전에 무기화될 수 있고, 한국의 평균 패치 적용 시간은 그 속도를 따라가지 못한다. KISA가 2026년 3월 발표한 모의침투 결과는 이 점을 잘 보여 준다. “89%의 기업에서 해킹 가능한 취약점이 확인”됐고, 외부 노출 자산, 기본 계정 방치, 패치 지연, 과도한 권한 같은 기본 통제의 부재가 원인으로 지목됐다. 이 89%라는 수치는, AI가 발견한 제로데이가 N데이로 전환되는 속도가 단축되는 시대에 한국이 출발선부터 뒤처져 있다는 의미로 읽혀야 한다.

자체 역량은 어떤가. 국정원이 2025년 2월 출범시킨 국가인공지능안보센터,  2024년 11월 ETRI 부설로 출범한 인공지능안전연구소, 2025년 9월 출범한 대통령 직속 국가인공지능전략위원회는 모두 옳은 방향이지만 규모와 속도에서 격차가 크다. 한국 AISI의 2026년 인력 목표는 30명 수준이다. 영국 AISI는  130명, 일본은 50명을 향해 가고 있다. 영국 AISI가 미토스 프리뷰 32단계 침투 시뮬레이션 평가를 직접 수행하고 그 결과를 블로그에 공개할 수 있는 위치에 있는 반면, 한국은 그 평가 결과를 후행적으로 받아 읽는 위치에 있다. KISA의 보안 취약점 클리닝 서비스는 2026년 1분기 정식 출시를 목표로 하고 있고 백신 사업자 4곳과의 협력 모델을 갖추고 있지만, 이 서비스의 설계 지점은 일반 PC 사용자의 취약 SW 업데이트 안내다. 미토스가 던지는 질문, 즉 AI가 산업 규모로 결함을 만들어 내는 시대에 국가 단위로 어떤 분류·우선순위·디스클로저 체계를 갖출 것인가의 답이 되기에는 과제 자체가 다르다.

북한 사이버공격을 어떠한가. 한국의 한 보안 기업의 2025년 사이버 위협 동향 보고서는 2024년 10월부터 2025년 9월까지 북한의 라자루스 31건, 김수키 27건이 언급됐다고 집계한 바 있다. 같은 보고서는 김수키 그룹이 AI 기반 위조 신분증을 사용한 정황을 기록했고, 라자루스의 ‘오퍼레이션 SyncHole’은 한국 IT·SW·금융 등 최소 6개 조직을 침해했다고 전한다. 체이널리시스(Chainalysis)에 따르면 2025년 북한 해커가 탈취한 가상자산은 약 20억 달러로, 글로벌 탈취액의 59%, 서비스 침해 규모로는 76%에 달한다.  크라우드스트라이크(CrowdStrike)는 ‘페이머스 천리마(FAMOUS CHOLLIMA)’로 분류한 북한 IT 워커 그룹이 12개월 사이에 320개 이상의 기업에 침투했고 전년 대비 220% 증가했다고 보고했다. 같은 보고서는 이 그룹이 생성형 AI로 이력서를 자동 작성하고 화상면접에서 실시간 딥페이크를 사용하며 내부 잠입 후에는 AI 코딩 도구를 활용한다고 적었다. 다른 한국 보안 기업에 따르면 2025년 10월 AIS 컨퍼런스에서 “북한은 더 이상 단순 스피어피싱 수준이 아니라 AI를 활용한 자동화 공격 체계를 확립했다”고 전했고, 북한 사이버전 인력은 2022년 6,800명에서 2024년 약 8,400명으로 늘었다.

앤트로픽의 미토스 자체에 북한이 직접 접근할 가능성은 낮을지라도 방법론은 절대적으로 비공개가 아니며, 딥시크와 큐원처럼 가드레일이 약한 오픈 모델은 북한·중국 행위자에게 조달 가능한 자산이다. AI가 패치 디핑(patch diffing)에 적용되면 단일 취약점에 대해 50달러로 40개 이상의 작동 익스플로잇을, 4달러로 100개 이상의 새 취약점을 만들어 낼 수 있다는 2025년 실험 결과는 이미 공개돼 있다. 이 비용 구조에서 북한 같은 비대칭 행위자는 N데이 무기화를 산업화할 가장 강한 유인을 갖는다. 제로데이가 N데이로 전환되는 시간이 짧아질수록, 패치 사이클을 사람의 속도가 아니라 모델의 속도에 맞춰 다시 설계해야 한다. 가상 패치(virtual patching), 마이크로세그멘테이션, 권한 분리, 알려진 BYOVD(Bring Your Own Vulnerable Driver) 차단, 엣지 디바이스 보안 강화가 더 이상 모범 사례 목록이 아니라 운영 기본값이 되어야 하는 시기가 도래한 것이다. 맨디언트가 적시했듯 2024년 75개 제로데이의 44%가  VPN·방화벽 같은 엔터프라이즈 엣지 디바이스에서 나왔고, 2025년 익스플로잇은 6년 연속 1위 침투 벡터로 32%를 차지했다.

한미 사이버 협력의 자리도 다시 점검이 필요하다. 2023년 4월 정상회담에서 발표된 ‘전략적 사이버안보 협력 프레임워크’, 2025년 8월과 10월 두 차례 정상회담에서 재확인된 사이버공간 협력 확대는 옳은 방향의 정치적 합의다. 그러나 미토스 사건이 보여 주는 것은, 미국이 같은 모델을 두고 펜타곤·NSA·백악관이 서로 다른 입장을 갖는 시기에 동맹국이 그 모델의 산출물을 어떤 채널로, 어떤 시간차로, 어떤 형태로 공유받는지가 협력의 실제 가치를 결정한다는 점이다. 한국이 인포메이션 공유 협정의 한 장을 더 늘리는 것보다 중요한 것은, 미토스급 모델이 발견한 결함이 마이크로소프트 패치로 떨어지기 전에 한국 정부가 자체 운영 환경에 대한 영향 평가를 끝낼 수 있는 분석 역량을 갖추는 일이다.

디스클로저 규범과 글로벌 거버넌스

미토스 사건은 사이버 안보의 글로벌 거버넌스 규범을 한꺼번에 시험대에 올렸다. 90일 책임 있는 공개 정책은 인간의 속도를 전제로 만들어진 규범이다. 구글 프로젝트 제로(Project Zero)의 90+30 정책 (패치 후 30일 적용 유예)와 트렌드 마이크로 ZDI의 절차는 그 자체로 정교하지만, AI가 패치 차이를 분석해 익스플로잇을 시간 단위로 만들어 내는 시대에는 90일이라는 시계가 공격자에게 90일짜리 자산이 된다. 프로젝트 제로가 2025년 도입한 ‘리포팅 트랜스페어런시(Reporting Transparency)’ 시범 (보고 후 1주 내에 영향 제품, 벤더, 90일 마감일을 공개)은 업스트림 패치 갭 문제를 다루는 좋은 시도이지만, 90+30 시계 자체를 대체하지는 않는다.

CISA의 시큐어 바이 디자인(Secure by Design) 서약은 68개사가 자발적으로 바람직한 방향의 이니셔티브다. 2024년 RSA 컨퍼런스 출범  이후 마이크로소프트, 구글, AWS를 비롯한 참여사들이 1년차 진척 보고서를 내고 있다. 그러나 NCSC CTO 올리 화이트하우스가 짚었듯, 보안의 비용은 결국 고객·보험·정부·사회로 전가된다. 미토스급 모델이 산업의 규모로 결함을 만들어 내는 시대에, 시큐어 바이 디자인의 정합성은 벤더가 자기 코드에 같은 모델을 돌릴 인적·재정적 여력을 가졌느냐에 따라 갈린다. 글라스윙 12개 출시 파트너는 그 여력을 가졌다. 그 밖의 대부분의 벤더는 그런 여력이 없다. 한국 SW 산업의 절대다수가 후자라고 해도 과언은 아닐 것이다.

VEP의 한계는 위에서 적었지만, 글로벌 차원의 동등한 메커니즘은 더 빈약하다. 영국·미국이 2024년 4월 체결한 AISI MOU와 2024년 11월 샌프란시스코에서 출범한 국제 AI 안전연구소 네트워크 (한국을 포함한 10개국)는 모델 사전 배포 평가 협력의 토대를 놓았다. 그러나 미토스 같은 모델의 사이버 능력 평가가 제대로 작동하려면, 평가 결과를 받는 데 그치지 않고 자국 운영 환경에서의 영향 평가를 수행할 자체 역량이 각국에 있어야 한다. 한국 AISI 30명 체제가 영국 AISI 130명, 미국 CAISI의 확대 추이를 따라가기 위해서는 단지 인력 증원이 아니라 평가 인프라, 컴퓨팅 자원, 모델 접근권의 세 축을 함께 채워야 한다.

규범 차원의 한 가지 분명한 것은 90일이라는 단일 시계가 AI 시대 디스클로저 규범의 주축이 될 수 없다는 점이다. 결함의 종류, 영향 범위, 운영 환경 분포, 자동 익스플로잇 가능성 등에 따라 시계가 분기되어야 한다. 마이크로소프트 같은 대형 벤더의 핵심 제품에 대한 미토스급 발견은 KEV 카탈로그 등재와 동시에 자동화된 가상 패치 가이던스가 함께 가야 하고, 오픈소스 의존성 그래프상 상위 노드에서 발견된 결함은 다운스트림 통합 시간을 시계 안에 명시적으로 반영해야 한다. 이 모든 재설계가 단기에 가능하지 않을 수 있으나 미토스 사건이 던진 함의를 받아들이지 못한 규범은 이 시대에 작동할 수 없다는 것 역시 분명하다.

판도라의 상자는 이미 열렸다

미토스 사태는 사이버 안보의 권력이 어디로 이동하고 있는지를 그대로 보여 준다. 좋은 모델을 가진 자가 좋은 결함을 먼저 알게 되고, 그 결함이 자국 동맹의 코드에 있다면 디스클로저의 시계를 자국이 통제한다. 누가 더 좋은 모델을 갖느냐, 누가 그 모델로 누구의 코드를 분석할 권리를 갖느냐가 향후 5년의 사이버 안보 권력 구도를 결정할 가능성이 크다. NSA가 미토스로 마이크로소프트 코드를 들여다보고, 펜타곤은 같은 회사를 공급망 위협으로 분류하고, 백악관은 70여 기관 확대 배포에 제동을 거는 동시에 펜타곤 지정을 우회할 가이던스를 작성하는 미국 행정부의 모순된 상황은 모두 같은 하나의 문제를 나타내고 있는 것이다. 즉 이 권력을 누가 어떻게 통제할 것인가에 대해 혼란스러워하고 있다는 것이다.

한국이 이 재편에서 어디에 설 것인가는, 단순한 모델 사용자의 자리로는 답을 낼 수 없는 질문이다. 미국 빅테크 스택에 깊이 의존하면서 동시에 북한과 중국이라는 가장 공격적인 사이버 행위자의 최전선에 놓인 국가에게, 모델을 받는 위치에 머무는 것은 가장 위험한 자리다. 한국이 갖춰야 하는 것은 평가·검증·자체 능력이다. 평가는 한국 AISI가 미토스급 모델의 사이버 능력을 자국 운영 환경에서 직접 시험할 수 있는 역량을 의미한다. 검증은 미국·영국 AISI의 결과를 비판적으로 재해석하고 한국 인프라 위상에 맞게 영향 평가를 수행할 인력과 절차를 의미한다. 자체 능력은 한국형 LLM이 SOC·CTI·취약점 분석 도메인에 적용 가능한 형태로 파인튜닝되고, 국가급 평가 환경에서 실제 운용되는 것을 의미한다. 네이버 하이퍼클로바 X 와 LG 엑사원이 일반 도메인에서 보여 준 성과는 출발점이 될 수 있지만, 사이버보안 도메인 특화 한국형 모델은 아직 보이지 않는다. 이 공백은 정책의 공백일까 아니면 기술의 공백일까.

[글. 백세현 엔피코어 해외전략이사]