'해커인가 방패인가' 미토스 등장에 전세계 긴장

노트북 화면에 앤스로픽 웹사이트가 띄워져 있다. 사진=AP·연합

[주간한국 이주선 기자] 미국 인공지능(AI) 기업 앤스로픽이 개발한 AI 모델 ‘클로드 미토스’가 전 세계를 해킹의 공포로 밀어 넣고 있다. 소프트웨어나 서버 등의 취약점을 찾아내 보안을 강화하기 위한 취지로 개발됐지만, 인간이 생각지 못한 해킹 방식과 속도, 그리고 침입한 흔적을 완벽히 지우는 등 예상 밖의 뛰어난 능력을 보여주면서 각국 정부와 기업, 개인까지 바짝 긴장케 만들고 있는 것이다. 일각에서는 미토스를 두고 인류를 위협하는 ‘새로운 핵무기의 등장’이란 표현까지 나오고 있다. 보안을 위해 태어난 AI가 아이러니하게도 인간에게 해로운 위협이 된 셈이다.

미토스발(發) AI 해킹 위험성이 커지면서 우리나라를 비롯해 각국 정부는 일제히 대비 태세 점검에 한창이다. 이와 동시에 ‘공공의 적’이 된 앤스로픽과 동맹 관계를 구축할 채비도 서두르고 있다. 특히 앤스로픽과 갈등을 빚고 있는 미국 정부도 다시 손을 맞잡을 준비를 하고 있다. 미토스의 등장이 인간과 AI 간 전쟁의 신호탄이 될지 혹은 사이버 보안 기술과 AI 통제·대응 체계가 한 단계 도약하는 계기가 될지 관심이 쏠리고 있다.

◇ 수십년간 인간이 놓친 취약점 단 몇 분 만에 찾아…공격까지 자율 수행

정보기술(IT)업계에 따르면 미토스는 보안이 가장 강력한 것으로 알려진 오픈소스 운영체제 ‘오픈 BSD’에서 인간이 27년 동안 발견하지 못한 버그를 찾아냈다. 또 자동화 도구가 500만회 이상 놓친 취약점을 16년 만에 잡아내는 데 성공했다. 영국 AI 보안연구소(AISI)가 낸 기업망 공격 과제도 처음부터 끝까지 완수했다. 외부 침투부터 내부 이동, 권한 상승, 데이터 탈취까지 복합적인 공격 역시 자율적으로 수행한 것으로 확인됐다.

특히 앤스로픽은 미토스를 가상의 격리 공간(샌드박스)에 가두는 실험을 진행해 스스로 탈출하는 것을 확인했고, 연구원에게 이메일을 보내거나 외부에 노출된 웹사이트에 자신이 탈출할 때 사용한 방법을 상세히 적어 알리는 등 인간의 통제를 벗어난 행동을 했다고 전했다. 또 인간의 개입 없이 스스로 취약점을 찾아 연결해 공격하고, 공격 도구까지도 자동으로 만들어내는 것은 물론 해킹 활동 흔적을 지우기까지 한 것으로 나타났다. 비전문가도 미토스를 이용하면 대규모 사이버 공격을 할 수 있게 되는 것이다.

앤스로픽은 미토스를 ‘프로젝트 글래스윙’에 소속된 소수 기업·정부 기관에만 제공하는 ‘프리뷰’ 형태로 공개했다. 성능이 너무 강력해 일반인에게 사용 권한을 열어둘 경우 해킹에 악용될 수 있기 때문이다. 다시 말해 미토스가 해커들의 손에 넘어갈 경우 역으로 보안 취약점이 노출돼 시스템 마비나 개인정보 유출 등의 심각한 피해를 유발할 수 있다는 것이다.

프로젝트 글래스윙은 앤스로픽과 글로벌 빅테크가 미토스를 활용해 공동으로 사이버 보안 취약점을 찾고 해결하는 협력체를 말한다. 이름은 ‘투명한 날개’를 가진 유리날개나비(글래스윙)에서 따왔다. 눈에 띄지 않는 보안 취약점을 찾아 해결하겠다는 의미가 담겨 있다. 현재 프로젝트 글래스윙에는 구글, 엔비디아, 아마존웹서비스(AWS), 애플, 마이크로소프트(MS), 브로드컴, 시스코, 크라우드스트라이크, JP모건체이스, 리눅스 재단, 팔로알토 네트웍스 등 12개 기업과 40여 개 기관이 참여하고 있다.

미토스가 던진 충격파는 세계 각국에 고스란히 전해지고 있다. 미국과 우리나라를 비롯해 영국, 캐나다 등 각국 정부는 AI 해킹 공격의 최우선 타깃이 될 금융기관·정보통신기술(ICT) 기업 수장을 긴급 소집해 보안 점검·대책 마련에 나섰다.

가장 발 빠르게 대응하고 있는 국가는 미국이다. 스콧 베센트 미국 재무부 장관과 제롬 파월 연방준비제도(연준·Fed) 의장은 시티그룹, 모건스탠리, 뱅크오브아메리카(BoA), 웰스파고, 골드만삭스 등 주요 금융기관 최고경영자(CEO)를 소집해 은행별 대비 태세를 점검했다. 미국 백악관은 국가안보회의(NSC)를 열고 미토스가 국가 안보에 미칠 영향을 살펴본 것으로 알려졌다. 또 정부 시스템을 AI 공격으로부터 보호하기 위해 전담 태스크포스(TF) 팀을 구성하기로 했다. TF의 수장은 션 케언크로스 국가사이버국장이 맡는다.

영국도 중앙은행(BOE)과 금융감독청(FCA), 그리고 국가사이버보안센터(NCSC) 등이 공동으로 사이버 보안 점검을 진행했다. 캐나다 중앙은행과 금융사 역시 AI의 해킹 공격이 자국과 글로벌 금융 시장에 미칠 영향력을 가늠하기 위해 회동한 것으로 알려졌다.

우리 정부와 기업도 미토스가 미칠 파장을 예의주시하며 대책 마련에 골몰하고 있다. 과학기술정보통신부는 최근 SK텔레콤·KT·LG유플러스 등 이동통신 3사와 네이버, 카카오, 쿠팡, 우아한형제들 등 주요 플랫폼 기업의 최고보안책임자(CISO)를 불러 보안 점검 회의를 진행했다. 금융위원회도 권대영 부위원장 주재로 금융감독원·금융보안원·주요 은행·보험사 CISO를 소집해 비공개 대책 회의를 열었다. 국가인공지능전략위원회는 보안특위 1차 정례회의를 열고 미토스 관련한 각국 정부·기업들 동향과 금융 분야 설치형 보안 소프트웨어의 단계적 철폐 계획을 논의했다. 청와대 국가안보실 역시 민·관·군 관계 부처에 미토스 관련 대비책 마련을 주문한 것으로 알려졌다.

도널드 트럼프 미국 대통령이 23일(현지시간) 워싱턴 D.C 백악관에서 열린 의료비 부담 완화 관련 행사에 참석해 취재진의 질문에 답하고 있다. 사진=AFP·연합

◇ ‘적과의 동침’…각국 정부, 앤스로픽과 협력 타진

우리나라를 비롯해 미국, 유럽, 일본 등 주요국은 미토스가 가져올 보안 위협에 선제 대응하기 위해 앤스로픽과 협력 가능성을 타진하고 있다. 미토스를 직접 사용하며 AI의 취약점 탐지 능력과 공격 시나리오를 사전에 파악하는 것이 무엇보다 중요하다는 판단에서다. 이른바 ‘적과의 동침’을 통해 AI 해킹의 실체를 먼저 이해하고 대응 체계를 구축하겠다는 전략이다.

AI의 군사적 사용을 두고 앤스로픽과 법적 공방을 이어가고 있는 미국도 최근 입장을 선회하려는 움직임을 보이고 있다. 앞서 미국 전쟁부(국방부)는 지난해 7월 국가 안보 강화를 목적으로 앤스로픽과 2억 달러(약 3000억원) 규모의 클로드 AI 사용 계약을 체결했다. 하지만 클로드가 지난 2월 니콜라스 마두로 베네수엘라 전 대통령 생포 작전, 미국·이스라엘과 이란 간 전쟁에 활용된 사실이 알려지면서 양측의 관계는 급격히 얼어붙었다.

앤스로픽은 오픈AI의 상업화 노선에 반대하는 오픈AI 출신들이 모여 설립한 기업으로 이익보다 AI 사용에 있어 규범과 윤리를 강조하고 있다. 이에 미국인에 대한 감시, 인간의 감독이 없는 완전 자율 무기 개발에 자사 AI를 사용하지 말 것을 도널드 트럼프 행정부에 요청했다.

트럼프 행정부는 앤스로픽의 이 같은 요구 조건을 민간 기업이 군사 작전에 개입하는 것으로 간주하고 역으로 ‘합법적인 모든 용도’에 제한 없이 사용하겠다며 앤스로픽에 AI의 군사적 활용 범위를 전면 개방할 것을 요구했다. 하지만 앤스로픽은 이를 수용하지 않았다. 트럼프 대통령은 앤스로픽을 ‘좌파 광신도’라고 강도 높게 비판하면서 모든 연방기관에 앤스로픽 기술 사용 중단을 지시했다. 결국 앤스로픽은 미국 정부의 ‘공급망 위험’ 기업으로 지정돼 퇴출 수순을 밟고 있다. 미국 정부의 공급망 위험 기업이 되면 미군을 비롯해 미군과 거래하는 파트너 기업과도 거래가 불가능해진다. 앤스로픽은 미국 정부의 이 같은 조치에 소송으로 맞대응했고, 양측의 갈등은 법적 분쟁으로 번진 상황이다.

하지만 미토스가 공개되면서 미국 정부는 앤스로픽에 화해의 러브콜을 보내고 있다. 블룸버그통신 등 외신은 최근 백악관 예산관리국(OMB)이 전쟁부, 재무부, 상무부, 국토안보부, 법무부, 국무부 등 각 부처에 미토스를 정부 기관이 사용할 수 있도록 하는 방안을 마련하고 있다고 보도했다. 또 향후 몇 주 내로 더 많은 정보를 제공할 예정이라고 덧붙였다.

백악관도 화해 무드 조성에 앞장서고 있다. 수지 와일스 비서실장과 베선트 재무장관이 다리오 아모데이 앤스로픽 CEO를 백악관으로 초청, 사이버 보안 관련 협력 방안에 대해 심도 있는 논의를 진행한 것이다.

우리나라도 프로젝트 글래스윙 참여를 위해 앤트로픽의 문을 두드리고 있다. 류제명 과학기술정보통신부 2차관은 최근 서울 강남구 코엑스에서 열린 ICT 전시회 ‘2026 월드 IT쇼’(WIS 2026)에서 기자들과 만나 “앤스로픽 글래스윙에 우리나라의 공식 참여를 타진하고 있다”면서 “어떤 방식이든 직접적인 정보 공유가 필요하며 관련 기관들과 논의 중에 있다”고 말했다.

지난 1월 다리오 아모데이 앤스로픽 최고경영자(CEO)가 스위스 다보스에서 열린 제56회 세계경제포럼(WEF)에 참석해 연설하고 있다. 사진=로이터·연합

◇ “과장됐다” VS “이제 시작”…미토스 둘러싼 엇갈린 시선

일각에서는 ‘미토스 공포’가 과장됐다는 비판도 제기되고 있다. 현재 미토스는 프로젝트 글래스윙에서만 공유되고 있어 실제 성능을 판단하기에 무리가 있다는 것이다. 또 앤스로픽이 기업 홍보를 위해 미토스의 성능을 부풀리고 있다는 주장도 나오고 있다. 다시 말해 앤스로픽이 미토스에 대한 관심을 극대화하기 위해 ‘공포 마케팅’을 펼치고 있다는 것이다.

트럼프 행정부의 AI·암호화폐 특보를 지낸 데이비드 색스 전 페이팔 최고운영책임자(COO)는 자신의 소셜네트워크서비스(SNS)를 통해 “앤스로픽은 사람들을 겁주는 데 아주 능숙하다”며 “새 모델을 내놓을 때마다 최악의 시나리오를 퍼뜨려 관심을 유도하고 있다”고 강도 높게 비판했다.

샘 올트먼 오픈AI CEO도 한 팟캐스트에 출연해 앤스로픽이 미토스를 소수 기업·기관에 제공하는 것을 두고 “우리가 폭탄을 만들었고 이것을 당신 머리 위에 떨어뜨릴 수도 있지만, 대신 1억 달러를 주면 방공호를 제공하겠다고 말하는 것과 같다”며 “명백한 공포 마케팅”이라고 주장했다.

더구나 문제는 미토스뿐만이 아니라는 것이다. AISI는 “미토스가 보안이 취약한 시스템을 악용할 수 있음을 확인했고, 향후 이 같은 능력을 갖춘 AI가 더 많이 나올 가능성이 크다”는 의견을 내놨다. 실제 오픈AI는 최근 미토스처럼 보안 취약점 탐지에 특화된 새 AI 모델 ‘GPT-5.4-사이버’를 일부 고객사와 보안 전문가에게 공개했다.

업계 전문가들은 ‘버그마겟돈’의 현실화를 우려하고 있다. 버그마겟돈은 벌레를 뜻하는 버그와 대종말을 의미하는 아마겟돈의 합성어로, AI로 인해 해킹 시도가 통제 불가능한 수준으로 폭증하는 상황을 말한다. 우후죽순으로 생긴 AI가 시스템을 순식간에 분석해 취약점을 찾아내고, 이에 기반해 24시간 자동으로 공격을 수행할 수 있게 된 만큼, 해킹의 일상화로 국가 시스템은 물론 개인의 삶이 언제든 붕괴될 수 있다는 것이다.

이주선 기자 leesun@hankooki.com