앤트로픽이 ‘미소스’ 사용 기업과 기관에 보안 취약점 정보를 외부와 공유할 수 있도록 정책을 변경했다. 제한적 접근 정책으로 인해 각국 기관과 중소기업들이 방어 정보를 충분히 얻지 못한다는 비판이 커지자, 대응에 나선 것으로 풀이된다.
로이터에 따르면, 앤트로픽은 18일(현지시간) ’프로젝트 글래스윙(Project Glasswing)’ 참여 기업들이 사이버 위협 정보와 취약점 분석 결과를 다른 기업 및 기관들과 공유할 수 있도록 허용한다고 밝혔다.
미소스는 지난 4월 공개됐으며, 고급 코드 분석 능력을 기반으로 소프트웨어 취약점을 탐지하고 공격 가능성까지 분석할 수 있는 사이버보안 특화 AI다. 전문가들은 미소스가 기존보다 훨씬 빠르게 보안 취약점을 찾아내고 악용 방식까지 도출할 수 있어 사이버보안 환경 자체를 바꿀 잠재력을 지녔다고 평가하고 있다.
현재 미소스는 프로젝트 글래스윙을 통해 제한된 기관들에만 제공되고 있다. 참여 기업에는 아마존, 마이크로소프트, 엔비디아, 애플 등 주요 빅테크 기업을 포함한 50여곳이 포함돼 있다.
앤트로픽은 당초 참여 기업들과 사실상 비밀유지 성격의 계약을 체결, 보안 취약점 정보를 외부에 공개하지 못하도록 운영해 왔다. 이는 참여 기업들이 민감한 보안 정보를 공유하는 과정에서 공격 표적이 되는 것을 우려해 요청한 조치였다고 설명했다.
그러나 최근 들어 제한적 정보 공유 정책에 대한 비판이 커졌다. 특히 일부에서는 미소스를 소수 대기업만 사용할 경우, 상대적으로 방어 역량이 부족한 중소기업이나 공공 기관들이 오히려 더 큰 위험에 노출될 수 있다고 지적했다.
이에 따라 앤트로픽은 지난주부터 참여 기관들에 ‘책임 있는 공개’ 원칙에 따라 취약점 정보와 대응 방식, 관련 코드 및 도구 등을 외부와 공유할 수 있다고 통보하기 시작했다.
앤트로픽은 “프로그램이 성숙 단계에 접어들면서 핵심 정보를 더 폭넓게 공유해, 방어 효과를 극대화할 수 있도록 정책을 조정했다”라고 밝혔다.
새 정책에 따라 참여 기업들은 다른 기업 보안팀은 물론 산업 단체, 규제기관, 정부 기관, 오픈소스 유지관리자, 언론 및 일반 대중과도 정보를 공유할 수 있게 된다.
미소스를 둘러싼 논란은 미국 정치권으로도 퍼지고 있다. 미 하원 AI 위원회 공동의장인 조시 고트하이머 의원은 최근 다리오 아모데이 CEO에게 서한을 보내 “어떤 조직도 긴급한 사이버 위협 정보를 타인에게 경고하거나 공동 대응하는 것을 계약으로 제한받아서는 안 된다”라고 강조했다.
반면 일부에서는 지나친 정보 공개가 오히려 공격자들에게 악용될 위험도 있다고 우려하고 있다. 실제로 앤트로픽은 지난달 미소스에 대한 무단 접근 시도가 발생해 내부 조사에 착수한 바 있다.
미국 정부도 미소스의 영향력을 주시하고 있다. 현재 이 모델을 활용해 연방정부 시스템 전반의 소프트웨어 취약점을 탐지하고 패치를 진행 중인 것으로 알려졌다.
박찬 기자 cpark@aitimes.com
댓글
0