美 CISA, 연방 코드 스캔 후 “다수 취약점 발견”…클로드 미토스가 또 해냈다

미국 사이버보안·인프라보안국(CISA)이 앤트로픽의 미토스(Mythos)를 연방 정부 코드 저장소 점검에 투입했다. 로이터가 7월 6일 보도했다. CISA의 공격표면 평가팀이 이 모델로 정부 코드를 훑어 이미 ‘다수’의 취약점을 찾아냈다.

미토스는 앤트로픽이 프로젝트 글래스윙 아래 제한적으로만 내주던 공세적 보안 특화 모델이다. 공세적 보안은 시스템을 지키기만 하는 것이 아니라, 해커처럼 먼저 공격해 약점을 찾아내는 방식이다. 미토스는 주요 운영체제와 브라우저를 넘나들며 제로데이 취약점을 스스로 찾아 엮어냈다. 제로데이는 아직 알려지지 않아 대비책이 없는 보안 허점을 말한다. 이 능력 때문에 일반 공개가 미뤄졌다. 지난 6월 말 미국 상무부가 수출통제를 일부 풀면서 100곳 이상의 승인된 미국 기관에 배포됐다. 이번 CISA 활용은 그 능력을 공격이 아니라 방어에 쓴 첫 사례에 가깝다.

CISA는 미국 국토안보부 산하 사이버보안 전담 기관으로, 연방 기관과 핵심 인프라의 보안을 지원한다. 공격표면 평가팀은 정부 시스템이 외부에 노출하는 지점을 찾아 위험을 줄이는 조직이다. AI가 코드에서 스스로 취약점을 짚어내면, 사람 손으로 일일이 감사하던 방식보다 점검 속도가 빨라진다. 같은 모델이 취약점을 찾는 데도, 뚫는 데도 쓰일 수 있다. 그래서 강력한 보안 AI를 누가 먼저 손에 쥐느냐가 안보의 변수가 됐다.

미토스를 둘러싼 통제 논의도 이어진다. 수출통제 해제 뒤에도 이 모델을 어디까지, 누구에게 열지를 두고 미국 정부와 앤트로픽 사이 조율이 남아 있다. 미토스는 프로젝트 글래스윙을 통해 검증된 방어자, 즉 시스템을 지키는 보안 담당자에게만 제한적으로 내주던 모델이었다. 정부 기관이 이를 직접 방어에 쓰기 시작하면서, 공세적 보안 AI를 폐쇄적으로 관리하면서도 실제 방어에 활용하려는 절충이 시험대에 올랐다. 취약점을 빠르게 찾아내는 능력이 방어에 얼마나 실질적 성과를 내는지가 이번 활용의 관전 포인트다.

자세한 내용은 Reuters에서 확인할 수 있다.

이미지 출처: 이디오그램 생성