앤트로픽 '미토스' 충격…AI가 보안 판 뒤흔든다

27년 미발견 취약점까지 찾아낸 AI 모델 등장

공격 코드까지 자동 생성…비전문가 해킹 가능성

美 정부·빅테크 긴급 대응…AI 보안 리스크 부상

“보안 패러다임 전환 필요”…취약점 ‘연결’ 시대 도래

다리오 아모데이 앤트로픽 최고경영자./게티연합

미국 인공지능(AI) 스타트업 앤트로픽의 최첨단 모델 ‘미토스(Mythos)’가 공개되면서 사이버 보안 패러다임이 근본적으로 흔들리고 있다.

강력한 AI가 보안 취약점을 사전에 찾아 방어력을 높일 수 있다는 기대와 함께, 동시에 해킹 기술의 문턱을 낮춰 전례 없는 공격 위험을 초래할 수 있다는 우려가 동시에 제기된다.

12일 블룸버그·AP통신에 따르면 현재 앤트로픽은 미토스를 일반 공개하지 않고 약 40~50개 기업에만 제한적으로 제공하고 있다.

이는 해당 모델이 소프트웨어 취약점 탐지 능력에서 최고 수준의 전문가를 제외한 대부분을 능가하는 성능을 보였기 때문이다.

실제로 미토스는 27년간 발견되지 않았던 오픈BSD 운영체제의 취약점을 찾아내는 등 기존 보안 체계의 한계를 드러냈다.

영상 소프트웨어에서 16년간 숨겨져 있던 결함도 찾아냈으며, 수백만 번의 자동 검사에서도 발견되지 않았던 취약점을 식별한 사례도 확인됐다.

더 큰 문제는 ‘탐지’를 넘어 ‘공격’까지 가능하다는 점이다.

미토스는 단순히 버그를 찾는 데 그치지 않고 여러 취약점을 연결해 실제 시스템을 침투할 수 있는 공격 코드(익스플로잇)를 자동으로 생성하는 능력을 갖춘 것으로 알려졌다.

기존에는 고급 해커나 전문 인력만 가능했던 작업이 AI를 통해 비전문가에게도 열릴 수 있다는 의미다.

실험에서는 기존 모델이 수백 번 시도 중 2건 정도만 성공한 반면, 미토스는 181개의 공격 코드를 생성하고 이 중 29건은 시스템 제어 권한을 확보할 수준이었다.

이는 공격 역량이 단순 향상이 아니라 ‘구조적 도약’에 가깝다는 평가를 낳고 있다.

취약점 발견 방식이 기존과 완전히 달라졌다는 점이 핵심 변화로 지목된다.

과거 보안은 개별 취약점을 탐지하는 방식이었다면, 미토스는 여러 취약점을 연결해 공격 경로를 구성하는 ‘상호작용 기반 분석’을 수행한다.

이로 인해 기존 보안 도구가 인식하지 못했던 영역, 이른바 ‘알 수 없는 취약점(unknown-unknowns)’이 대량으로 드러나고 있다.

미국 정부도 즉각 대응에 나섰다.

JD 밴스 부통령과 스콧 베선트 재무장관은 주요 빅테크 및 금융기관과 긴급 회의를 열어 AI 기반 사이버 공격 대응 방안을 논의했다.

백악관 국가사이버국을 중심으로 핵심 인프라 보안 취약성 점검 작업이 진행 중인 것으로 전해졌다.

앤트로픽은 ‘프로젝트 글래스윙(Project Glasswing)’을 통해 엔비디아, 아마존, 시스코, JP모건체이스 등 주요 기업들과 공동으로 보안 대응 체계를 구축하고 있다.

이들 기업은 미토스를 활용해 자사 시스템 취약점을 사전에 점검하고 방어 전략을 강화할 계획이다.

다만 시장에서는 앤트로픽의 전략을 둘러싼 해석도 엇갈린다.

일부는 미토스가 사이버 보안 산업의 ‘분수령’이 될 것으로 평가하는 반면, 다른 한편에서는 기업공개(IPO)를 앞두고 기술력을 과장했을 가능성도 제기된다.

경쟁사들이 ‘증류(distillation)’ 기법을 통해 유사 모델을 빠르게 개발하는 것을 차단하기 위한 폐쇄 전략이라는 분석도 나온다.

실제 일부 연구에서는 소형 오픈소스 AI 모델도 유사한 취약점 탐지 능력을 보였다는 결과가 나오면서, 기술 격차가 생각보다 크지 않을 수 있다는 지적도 제기된다.

산업 전반에 미치는 영향은 이미 현실화되고 있다.

보안 기업들의 주가는 미토스 공개 이후 일제히 하락하며 시장 충격을 반영했다.

사이버 공격 속도는 급격히 빨라지고 있다.

보안업체 보고서에 따르면 사이버 공격은 평균 29분마다 발생하며, AI 기반 공격은 전년 대비 89% 증가한 것으로 나타났다.

문제는 방어 체계가 이 속도를 따라가지 못한다는 점이다.

기존 보안 체계는 사람이 경보를 확인하고 분석한 뒤 대응하는 방식이지만, AI 기반 공격은 수분에서 수초 단위로 진행된다.

이에 따라 “패치 중심 보안”에서 “실시간 대응 체계”로의 전환이 불가피하다는 지적이 나온다.

향후 더 큰 충격도 예고돼 있다.

7월 초 ‘글래스윙’ 프로젝트 결과가 공개되면 대규모 취약점이 한꺼번에 드러나며 이른바 ‘패치 쓰나미’가 발생할 가능성이 제기된다.

이어 8월 2일부터는 유럽연합의 AI법(AI Act)이 시행되면서 고위험 AI 시스템에 대한 보안 의무와 벌금 규제가 본격화된다.

미토스는 단순한 신기술을 넘어, 사이버 보안의 기본 전제를 바꾸는 사건으로 평가된다.

AI가 방어와 공격 모두의 도구가 되는 시대에서, 기존 보안 체계와 규제는 근본적인 재설계를 요구받고 있다.

전문가들은 “이제 보안은 더 이상 취약점을 얼마나 많이 찾느냐의 문제가 아니라, 취약점이 어떻게 연결되는지를 이해하는 문제로 바뀌고 있다”고 지적한다.

AI 시대의 사이버 보안은 ‘속도’와 ‘구조’의 경쟁으로 재편되고 있으며, 그 변화의 중심에 미토스가 서 있다는 평가다.