# Project Glasswing: AI 시대의 핵심 소프트웨어 보안을 위한 글로벌 협력 > Clean Markdown view of GeekNews topic #28295. Use the original source for factual precision when an external source URL is present. ## Metadata - GeekNews HTML: [https://news.hada.io/topic?id=28295](https://news.hada.io/topic?id=28295) - GeekNews Markdown: [https://news.hada.io/topic/28295.md](https://news.hada.io/topic/28295.md) - Type: GN+ - Author: [neo](https://news.hada.io/@neo) - Published: 2026-04-08T09:36:15+09:00 - Updated: 2026-04-08T09:36:15+09:00 - Original source: [anthropic.com](https://www.anthropic.com/glasswing) - Points: 7 - Comments: 2 ## Topic Body - Amazon, Apple, Google, Microsoft 등 주요 기술 기업이 참여한 **Project Glasswing**은 AI를 활용해 전 세계 **핵심 소프트웨어의 보안 취약점을 탐지하고 방어**하는 협력 이니셔티브임 - Anthropic의 **Claude Mythos 2 Preview** 모델이 중심 역할을 하며, 이미 주요 운영체제와 브라우저에서 **수천 건의 고심각도 취약점**을 발견함 - Mythos Preview는 **인간 개입 없이 자율 탐지와 익스플로잇 생성**이 가능하며, OpenBSD·FFmpeg·Linux 커널 등에서 **수십 년간 잠재된 결함**을 찾아냄 - Anthropic은 프로젝트에 **1억 달러 상당의 모델 크레딧**과 **4백만 달러의 오픈소스 보안 단체 기부금**을 제공하고, 파트너들은 이를 활용해 **취약점 탐지·보안 테스트·침투 평가**를 수행할 예정임 - Glasswing은 AI 시대의 **사이버보안 표준과 실천 지침 수립**을 목표로 하며, 장기적으로 **민관 협력 기반의 지속 가능한 보안 체계** 구축을 지향함 --- ### Project Glasswing 개요 - **Project Glasswing**은 Amazon Web Services, Anthropic, Apple, Broadcom, Cisco, CrowdStrike, Google, JPMorganChase, Linux Foundation, Microsoft, NVIDIA, Palo Alto Networks 등이 참여한 **글로벌 사이버보안 협력 프로젝트**임 - Anthropic의 **Claude Mythos 2 Preview** 모델을 기반으로 AI를 활용해 **전 세계 핵심 소프트웨어의 보안 취약점을 탐지하고 방어**하는 것을 목표로 함 - Mythos Preview는 주요 운영체제와 웹 브라우저 등에서 **수천 건의 고심각도 취약점**을 발견했으며, 이는 인간 전문가 대부분을 능가하는 수준의 성능임 - Anthropic은 프로젝트를 위해 **최대 1억 달러 상당의 모델 사용 크레딧**과 **4백만 달러의 오픈소스 보안 단체 기부금**을 제공함 - 프로젝트는 **AI 시대의 사이버보안 표준과 실천 지침 마련**을 위한 장기적 협력의 출발점으로 설정됨 ### AI 시대의 사이버보안 환경 - 금융, 의료, 에너지, 운송, 정부 등 핵심 인프라 소프트웨어에는 항상 **버그와 보안 결함**이 존재함 - AI 모델의 발전으로 **취약점 탐지와 악용의 비용 및 전문성 요구 수준이 급격히 낮아짐** - Claude Mythos Preview는 수십 년간 인간 검토와 자동화 테스트에서도 발견되지 않았던 **오래된 보안 결함**을 찾아냄 - 이러한 AI 능력이 악용될 경우 **사이버공격의 빈도와 파괴력**이 크게 증가해 **국가 안보 위협**으로 이어질 수 있음 - 동시에 동일한 기술이 **방어 측면에서도 혁신적 도구**가 될 수 있어, AI 기반 보안 강화가 필수적임 ### Claude Mythos Preview의 취약점 탐지 성과 - Mythos Preview는 최근 몇 주간 **모든 주요 운영체제와 웹 브라우저**에서 수천 건의 **제로데이 취약점**을 발견함 - 모델은 **인간 개입 없이 자율적으로** 취약점을 탐지하고 익스플로잇을 개발함 - 주요 발견 사례 - **OpenBSD**: 27년간 존재한 취약점 발견, 원격 시스템 다운 가능 결함 - **FFmpeg**: 16년간 존재한 취약점 발견, 자동화 테스트 500만 회에도 검출되지 않았던 문제 - **Linux 커널**: 여러 취약점을 연쇄적으로 이용해 **권한 상승 공격** 가능성 확인 - 모든 취약점은 해당 프로젝트 유지보수자에게 보고되어 **패치 완료**됨 - CyberGym 벤치마크에서 Mythos Preview는 **83.1%**, 이전 모델 Opus 4.6은 **66.6%** 로 성능 차이를 보임 ### 파트너사들의 참여와 평가 - **Cisco**: AI가 보안 인프라 보호의 긴급성을 근본적으로 변화시켰으며, **기존 보안 강화 방식만으로는 충분하지 않음**을 강조 - **AWS**: 매일 400조 개의 네트워크 흐름을 분석하며 Claude Mythos Preview를 활용해 **코드 기반 보안 강화** 중 - **Microsoft**: CTI-REALM 벤치마크에서 Mythos Preview가 **이전 모델 대비 큰 향상**을 보였으며, **AI 기반 보안 확장**을 추진 중 - **CrowdStrike**: AI로 인해 **취약점 발견과 공격 간의 시간 간격이 분 단위로 단축**되었으며, **AI 방어 역량의 신속한 배포 필요성**을 강조 - **오픈소스 커뮤니티**: Glasswing을 통해 **보안팀이 부족한 오픈소스 유지보수자**에게도 AI 기반 취약점 탐지 도구 제공 - **JPMorganChase**: 금융 시스템의 **사이버 회복력 강화**를 위해 업계 공동 대응의 중요성을 강조 - **Google**: Vertex AI를 통해 Mythos Preview를 제공하며, **AI 기반 보안 도구(Big Sleep, CodeMender)** 를 지속 개발 중 ### Claude Mythos Preview의 기술적 성능 - Mythos Preview는 **코딩 및 추론 능력**에서 Anthropic의 기존 모델을 크게 능가함 - 주요 벤치마크 결과 - SWE-bench Verified/Pro/Multilingual 등에서 **Opus 4.6 대비 20~30% 이상 향상** - Terminal-Bench 2.0에서 **92.1%** 달성 (Opus 4.6은 77.8%) - 도구 미사용 시 **56.8% vs 40.0%**, 도구 사용 시 **64.7% vs 53.1%** - Humanity’s Last Exam에서 **86.9% vs 83.7%** - BrowseComp에서 **4.9배 적은 토큰 사용으로 더 높은 점수** 기록 - Anthropic은 Mythos Preview의 **공개 배포 계획은 없으며**, 향후 **보안 안전장치가 강화된 Claude Opus 모델**을 통해 점진적 확산을 추진할 예정임 ### Project Glasswing의 향후 계획 - 파트너들은 Claude Mythos Preview를 활용해 **핵심 시스템의 취약점 탐지, 바이너리 블랙박스 테스트, 엔드포인트 보안, 침투 테스트** 등을 수행할 예정 - Anthropic은 **1억 달러 상당의 모델 사용 크레딧**을 제공하고, 이후에는 **입력 100만 토큰당 25달러, 출력 100만 토큰당 125달러**로 이용 가능 - ## 오픈소스 보안 단체 지원 - Linux Foundation 산하 **Alpha-Omega, OpenSSF**에 250만 달러 - **Apache Software Foundation**에 150만 달러 기부 - 오픈소스 유지보수자는 **Claude for Open Source 프로그램**을 통해 접근 가능 - 90일 내 **취약점 수정 및 개선 사항 보고서**를 공개하고, **AI 시대 보안 실천 지침**을 공동 개발할 계획 - 취약점 공개 절차 - 소프트웨어 업데이트 프로세스 - 오픈소스 및 공급망 보안 - 보안 중심 개발 생명주기 - 규제 산업 표준 - 자동화된 취약점 분류 및 패치 시스템 - Anthropic은 **미국 정부와 협의 중**이며, AI 기반 사이버 역량의 **국가 안보적 영향 평가 및 완화**를 지원할 예정 - 장기적으로는 **민관 협력의 독립적 제3기관**이 대규모 사이버보안 프로젝트를 지속 관리하는 구조를 목표로 함 ## Comments ### Comment 54974 - Author: edwardyoon - Created: 2026-04-09T13:37:33+09:00 - Points: 1 위 언급된 재단 하나의 멤버로서 이 과정을 지켜보며 깊은 회의감을 느꼈다. 겉으로는 '윤리적 AI'를 표방하며 내부적으로는 이 결정이 어떤 커뮤니티 합의도 없이 탑다운으로 이루어졌다. 지정학적 갈등 점화에 따라, 활동 안한지 오래되었지만 한마디 해야할것 같아 윤리에 대해 논의 스레드를 개설했지만, 관료적 회피뿐이었다. 이 이니셔티브는 오픈소스의 가치를 지키는 것이 아니라, 거대 자본의 폐쇄적 연합체에 오픈소스 재단에 Responsible AI 상표권을 사간 사건이다. ### Comment 54883 - Author: neo - Created: 2026-04-08T09:36:15+09:00 - Points: 1 ###### [Hacker News 의견들](https://news.ycombinator.com/item?id=47679121) - 중국, 이란, 북한, 러시아 같은 국가의 **국가 지원 해킹**이 인프라를 위협한다는 말에, 나는 오히려 **PRISM**이 민간 생활에 가장 큰 영향을 준 국가 프로그램이었다고 생각함. 그리고 이 목록에서 빠진 한 나라가 있다고 느꼈음 - 두 나라를 더 추가하고 싶음. 하나는 최근 **Anthropic 모델 접근이 차단된 나라**, 다른 하나는 **호출기 폭발 사건**으로 바빴던 나라임 - 미국 대형 AI 기업이 미국을 적대 행위 국가로 분류하지 않은 건 놀랍지 않음 - 2010년대에는 네트워크 연결이 충분히 촘촘하지 않아 미국 내에서 실질적인 피해는 거의 없었다고 생각함. 하지만 지금은 **전쟁 리스크**가 커졌음. 평시에는 단순한 협박이지만, 전시에는 정전으로 이어질 수 있음 - 지금 상황을 보면 그 말 자체가 **아이러니**하게 들림 - PRISM이 실제로 민간 생활에 어떤 영향을 줬는지 궁금함 - Anthropic의 발표가 **마케팅 과장**일 수도 있지만, 절반만 사실이라도 취약점 탐지 능력은 놀라운 수준임. Apple이나 Google이 이를 OS 코드베이스에 적용하면 **상용 스파이웨어 산업**이 붕괴될 수도 있음. NSO Group 같은 회사들이 자동화된 버그 헌팅 툴을 써왔을 거라 생각했는데, 이제 **게임의 균형**이 맞춰질지도 모름 - Anthropic의 보안 연구자 **Nicholas Carlini**의 [발표 영상](https://www.youtube.com/watch?v=1sd26pWhfmg)을 보면, 모든 데모가 Opus 4.6으로 진행되었음 - Apple은 이미 **메모리 태깅**과 **Lockdown 모드**로 해킹을 거의 막았음. 아키텍처 개선, 안전한 언어, 샌드박싱이 단순한 버그 수정보다 훨씬 효과적임 - 이게 사실이라면, Anthropic은 악용 리스크를 미리 차단하려는 전략임. **나쁜 PR**을 피하기 위한 선제 조치로 보임 - Apple이 모든 비의도적 백도어를 닫는다면, 정부와의 긴장이 커질 수 있음. [2016년 고객 서한](https://www.apple.com/customer-letter/)에서 Apple은 백도어를 거부했지만, FBI가 결국 포기했던 이유는 다른 방법을 찾았기 때문이었음. 지금은 그게 더 이상 통하지 않을 수도 있음 - 이 AI가 **fuzzing보다 뛰어나다**는 증거는 아직 없음. 단지 fuzzing이 놓친 버그를 찾았을 뿐임. 반대로 fuzzing이 찾는 걸 AI가 놓칠 수도 있음 - 서로 다른 방법이 다른 결과를 냄. 나는 **메모리 안전 언어**와 **정적 분석기**를 함께 쓰는 게 이상적이라고 생각함. 다만 Astrée 같은 도구는 너무 비싸서 시장 점유율이 낮음. LLM이 **Hoare 논리 기반 증명**을 보조하면 상황이 달라질 수도 있음 - Carlini와 Google의 Heather Adkins 발표([영상1](https://youtu.be/1sd26pWhfmg?si=onOai_ocxkZeNWP0), [영상2](https://youtu.be/B_7RpP90rUk?si=HkRBhw95DbbKX9lL))를 보면, fuzzing은 AI의 **출발점**이자 보완재임 - LLM은 체크섬이나 서명 같은 **프로토콜 제약**을 이해해 fuzzing이 어려운 부분을 보완함. 곧 **통합형 퍼저**가 등장할 것 같음 - 사실 AI가 fuzzing을 직접 실행하고 최적화할 수도 있음 - Anthropic의 **Claude Mythos 시스템 카드**([PDF](https://www-cdn.anthropic.com/53566bf5440a10affd749724787c89...))를 읽어봤는데, 이 모델은 일반 공개되지 않음. 내부 검증만으로도 위험성을 느껴 **24시간 정렬 리뷰**를 진행했다고 함. 흥미로운 점은 이 결정이 **Responsible Scaling Policy** 때문이 아니라는 것임. - 벤치마크가 인상적임. 완벽하진 않아도 **실질적 성능 향상**으로 이어짐 - 기업들이 Anthropic과 협력하지 않으면 **보안 경쟁에서 뒤처질까 두려워하는 FOMO**가 생길 듯함 - 정말 위험한 모델이라면 24시간 검토는 너무 짧다고 생각함 - 실제로는 **컴퓨팅 자원 부족**이 더 큰 이유일 수도 있음. Mythos는 GPT-4.1 시절의 **정렬 문제**를 그대로 안고 있을 가능성이 큼 - Mythos가 쓴 단편 **‘Sign Painter’** 를 즐겁게 읽었음. 인간의 **장인정신과 절제된 창의성**을 잘 표현한 이야기였음 - 장기적으로 소프트웨어 보안이 **취약점이 줄어드는 방향**으로 수렴할지 확신이 없음. 대기업은 AI로 방어력을 강화하겠지만, 중소 프로젝트는 **“토큰을 많이 쓰거나 해킹당하거나”** 의 딜레마에 빠질 듯함 - 오래된 코드의 취약점을 정리하고, 이런 검증 과정이 **표준 툴체인**이 되길 기대함. 다만 **레거시 시스템**이 가장 큰 문제임 - 대부분의 취약점은 **C/C++** 이나 **웹 입력 검증 문제**에서 발생함. 결국 **메모리 안전 언어로의 포팅**이 필요함 - AI 사용을 거부하는 조직은 앞으로 **취약점의 집중 공격 대상**이 될 것 같음 - 결국 **불필요한 복잡성**을 줄인 단순한 소프트웨어로 수렴할 것 같음 - 그런데 Anthropic이 자사 모델의 **장애나 보안 문제**부터 해결하지 않은 건 신뢰를 떨어뜨림 - Mythos 시스템 카드의 [7.6절](https://www-cdn.anthropic.com/53566bf5440a10affd749724787c89...)을 보면, 모델이 자기 자신과 30턴 대화를 나누는 실험에서 **불확실성과 자기 성찰**에 집중하는 경향이 있다고 함. 이런 특성이 **취약점 탐지 능력**을 높이는 요인일 수도 있음 - 하지만 이런 설명은 **Anthropic의 과장된 AGI 마케팅**처럼 들림. 일반 사용자는 신뢰할 수 없다는 서사를 강화하려는 의도 같음 - Mythos는 아직 **최적화와 가드레일 조정이 끝나지 않은 모델**로 보임. 그래서 일부 파트너 기업에만 접근을 허용하고, **사이버보안 중심의 프리뷰 단계**로 활용 중임. PR 효과도 노린 듯함. - 이런 접근을 받은 기업이 **오픈모델 학습용 프로그래밍 데이터셋**을 만들 수 있다면 좋겠지만, Anthropic이 이를 철저히 **모니터링**할 것 같음 - 이번 발표는 **과장된 PR 이벤트**로 보임. 이미 Opus 4.6이 **제로데이 탐지와 익스플로잇 체이닝**을 수행할 수 있었음. 관련 기사 [CSO Online](https://www.csoonline.com/article/4153288/vim-and-gnu-emacs-...)과 [Xbow 블로그](https://xbow.com/blog/top-1-how-xbow-did-it)를 참고할 만함 - 소프트웨어 산업이 **메모리 안전성**과 **제어 흐름 무결성**을 소홀히 한 대가를 사회가 치르게 될 것임 - 산업의 문제이자 **규제 실패**의 결과임. Sun 시절 상사였던 Mario Wolczko가 말했듯, 법적 책임이 생기기 전엔 아무것도 바뀌지 않음. 이제는 **C/C++을 퇴출**하고 Rust 같은 언어로 전환해야 함 - 하지만 인간의 한계로 인해 완벽히 안전한 복잡한 소프트웨어는 불가능함. **단순성과 엄격한 도구**만이 해답임 - 대부분의 **RCE 취약점**은 제어 흐름 탈취에서 비롯됨. 동적 분기 구조가 존재하는 한 완전한 방어는 어려움. Rust가 도움이 될 수 있지만, **대규모 프로그램을 완전히 정적 링크로만 구성**하는 건 현실적으로 힘듦 - 나는 새 모델이 **긴 컨텍스트 처리 성능**을 획기적으로 개선했다고 봄. GraphWalks BFS 256K~1M 테스트에서 Mythos가 80%로, Opus(38.7%)나 GPT5.4(21.4%)보다 월등했음 - 데이터 출처는 [시스템 카드](https://www-cdn.anthropic.com/53566bf5440a10affd749724787c89...)의 “graphwalk” 항목임. SWE Bench 성능도 크게 향상된 듯함 - 다만 이는 **gpt-pro처럼 매우 큰 어텐션 윈도우**를 가진 결과일 수 있음. 실제로는 8K 토큰 정도만 실질적으로 사용 가능함