앤트로픽의 미공개 최신 AI 모델 ‘미토스’가 글로벌 보안 프로젝트 ‘프로젝트 글래스윙(Project Glasswing)에 투입된지 한 달 만에 1만개 이상의 보안 취약점을 찾아낸 것으로 알려졌다. 이렇게 찾아낸 취약점의 90%가량은 실제 존재하는 취약점이었다. 하지만 인간의 대응 속도가 탐지 속도에 따라가지 못하는 점은 앞으로 풀어야 할 과제로 꼽혔다.
글로벌 AI 보안 공동 프로젝트 ‘프로젝트 글래스윙’ / 앤트로픽 홈페이지 갈무리
글로벌 AI 보안 공동 프로젝트 ‘프로젝트 글래스윙’은 고성능 AI 모델이 보안 취약점을 공격하는 무기로 변질되기 전에 AI를 활용해 핵심 소프트웨어들을 선제적으로 보호하기 위해 출범한 민관 협력 프로젝트로, 글로벌 빅테크 기업과 미국 및 동맹국의 정부 보안 기관 등 약 50여개 파트너들이 참여하고 있다.
이번 프로젝트에는 아직 일반에 공개되지 않은 앤트로픽의 차세대 모델 ‘클로드 미토스 프리뷰’가 투입됐다. 그리고 프로젝트 가동 한 달 만에 ‘미토스 프리뷰’는 1만 건 이상의 고위험, 치명적 보안 취약점을 찾아낸 것으로 알려졌다. 또한 파트너들의 버그 탐지 속도는 10배 이상 빨라졌다. 클라우드플레어는 핵심 시스템에서 2000개의 버그를 발견했고, 모질라는 파이어폭스 150 버전에서 미토스 프리뷰로 271개의 취약점을 발견, 수정한 것으로 전해졌다.
미토스 프리뷰 모델이 찾아낸 취약점의 대부분은 실제 존재하는 위협이라는 평가다. 앤트로픽은 미토스 프리뷰를 통해 1000개 이상의 오픈소스 프로젝트를 조사했고, 6202개의 고위험 취약점을 포함한 2만3019개의 취약점을 찾았다. 이 중 1752개 취약점에 대해 외부 전문 보안 연구 기관들과 검증한 결과 90.6%에 이르는 1587개가 실제로 유효한 취약점이며, 이 중 62.4%인 1094건은 고위험도로 분류됐다.
하지만 현재의 취약점 대응 체계는 AI의 탐지 속도를 따라가지 못하는 점이 문제로 지적된다. 일반적으로는 취약점 발견 이후 대응과 공개까지 몇 개의 단계를 거치는데, AI를 통한 탐지는 이 단계의 진행에 큰 부담을 준다는 평이다. 이미 많은 오픈소스 유지보수자들이 현재 큰 부담에 직면했고, 일부 유지보수자들은 “취약점 공개 속도를 늦춰달라”고 요구하기도 한 것으로 알려졌다.
앤트로픽은 현재까지 유지보수자들에 530건의 고위험 결함을 보고했는데, 이 중 75개가 패치됐고 65개가 공개 가능 수준가지 온 것으로 평가된다. 앤트로픽은 이에 대해 “공개 속도가 비교적 느린 상황에도 미토스 프리뷰는 이미 과부하 상태인 보안 생태계에 추가적인 역할을 하고 있다”고 평가했다.
공격자들은 소프트웨어의 취약점 발견과 수정, 최종 사용자들에 대한 패치 배포 시점간 차이를 악용하는 경우가 많다. 앤트로픽은 ‘미토스’급 모델이 궁극적으로는 개발자들이 배포 전에 버그를 발견해 더 안전한 소프트웨어를 구축할 수 있게 하겠지만, 취약점이 빠르게 발견되고 천천히 패치되는 상황에 있는 동안 새로운 위협이 될 것으로 우려한다. 그리고 이에 대응하기 위해 개발자들은 패치 주기를 단축하고 보안 패치를 가능한 빨리 제공해야 하며, 관리자들은 패치 테스트와 배포 일정을 단축할 필요가 있다고 제시했다.
한편, 앤트로픽은 보고서를 통해“아직 어떤 회사도 고성능 AI 모델이 오용돼 심각한 피해를 초래할 가능성을 막는 충분한 안전장치를 개발하지 못했다”며 “안전장치 없이 비슷한 성능의 모델이 출시된다면, 전 세계 거의 누구나 소프트웨어의 결함을 훨씬 쉽게 악용할 것”이라 언급했다.
이어 “프로젝트 글래스윙은 체계적으로 사이버 방어자들이 비대칭적 우위를 확보하도록 돕는다. 하지만 가능한 많은 조직이 사이버 방어를 긴급히 강화해야 한다”며 “미국 및 동맹 정보를 포함한 주요 파트너들과 협력해 프로젝트 글래스윙의 파트너를 추가 확장할 것”이라 밝혔다.
댓글
0