Anthropic의 최강 보안 AI "Claude Mythos", 일반 공개 대신 선택된 파트너에게만 제한 배포

(simonwillison.net)

5P by darjeeling 10시간전 | ★ favorite | 댓글 3개

Anthropic이 신규 모델 Claude Mythos를 일반에 공개하지 않고, "프로젝트 글래스윙(Project Glasswing)" 이라는 제한적 프리뷰 프로그램을 통해 선별된 보안 연구 파트너에게만 배포하기로 했다. 이유는 단순하다. 이 모델의 사이버 보안 취약점 탐지 능력이 너무 강력해서, 악용될 경우 전 세계 인프라에 위협이 될 수 있기 때문이다.

Claude Mythos란?

Mythos는 Claude Opus 4.6과 유사한 범용 모델이지만, 사이버 보안 연구 능력이 압도적으로 뛰어나다. Anthropic은 이미 이 모델이 모든 주요 운영체제와 웹 브라우저를 포함해 수천 건의 고위험 취약점을 발견했다고 밝혔다.

구체적인 능력의 예를 들면:

웹 브라우저 익스플로잇을 작성할 때 취약점 4개를 연쇄적으로 활용해 렌더러와 OS 샌드박스를 모두 탈출하는 복잡한 공격 코드를 작성했다.
Firefox 147 자바스크립트 엔진의 취약점을 익스플로잇으로 전환하는 실험에서, Opus 4.6은 수백 번 시도에 2번 성공한 반면 Mythos는 181번 성공하고 추가로 29번 레지스터 제어에도 성공했다.

실제로 발견된 취약점들

Anthropic의 Nicholas Carlini는 다음과 같이 말했다:

"저는 지난 몇 주 동안 제 인생 전체에서 찾은 것보다 더 많은 버그를 발견했습니다. OpenBSD에서는 27년 동안 존재해 온 버그를 찾았는데, 데이터 몇 조각만 보내도 서버를 크래시시킬 수 있는 취약점이었습니다."

실제로 해당 OpenBSD 취약점은 2026년 3월 25일 패치로 수정이 완료됐음이 확인됐다.

업계의 경고 신호들

이미 보안 전문가들 사이에서는 AI의 취약점 탐지 능력에 대한 경보가 울리고 있었다.

Linux 커널의 Greg Kroah-Hartman: "한 달 전쯤 뭔가 달라졌습니다. 이제는 AI가 만든 진짜 보안 리포트들이 쏟아지고 있고, 품질도 높습니다."
curl의 Daniel Stenberg: "AI 관련 보안 이슈가 'AI 쓰레기 쓰나미'에서 '진짜 보안 리포트 쓰나미'로 바뀌었습니다. 하루에 몇 시간씩 이것만 처리하고 있어요."

프로젝트 글래스윙이란?

Anthropic은 Mythos를 일반 공개하는 대신, AWS·Apple·Microsoft·Google·Linux Foundation 등을 파트너로 참여시켜, 이들이 자체 시스템의 취약점을 먼저 찾아 수정할 수 있도록 하는 방식을 택했다. 여기에 1억 달러 상당의 사용 크레딧과 400만 달러의 오픈소스 보안 단체 직접 기부가 포함된다.

저자의 견해

블로그 저자인 Simon Willison은 "'우리 모델이 너무 위험하다'는 말이 마케팅처럼 들릴 수 있지만, 이번 경우만큼은 그 신중함이 충분히 타당하다"며 제한 배포 결정을 지지했다. 그는 이번 사태를 업계 전반적인 대응이 필요한 '지각 변동'으로 보고 있으며, OpenAI도 이 이니셔티브에 합류했으면 한다는 바람을 밝혔다.