[사이버보안]너무 뛰어나 어둠 속에서 나오지 못하는 앤트로픽 보안 모델, 미소스

앤트로픽이 자사 최신 AI 모델 '클로드 미소스 프리뷰(Claude Mythos Preview)'를 일반에 공개하지 않기로 결정했다. 이유는 모델 성능이 너무 뛰어나서다. 사이버 공격 수단으로 악용될 경우 막대한 피해가 예상된다는 판단에서다. 

앤트로픽은 대신 아마존웹서비스(AWS), 애플, 구글, 마이크로소프트, 엔비디아, JP모건체이스 등 12개 핵심 기술·금융 기업을 포함해 총 40여 개 조직에만 제한적으로 접근권을 부여했다. 이 협력 체계의 이름은 '프로젝트 글래스윙(Project Glasswing)'이다.

미소스가 공개 배포가 어려울 정도로 위험하다고 평가받는 핵심 이유는 소프트웨어 취약점을 스스로 찾아내고, 거기에 침투하는 공격 코드까지 자율적으로 작성하는 능력 때문이다. 

앤트로픽의 프런티어 레드팀(모델의 위험 수준을 사전에 검증하는 내부 팀)을 이끄는 로건 그레이엄은 이 모델이 최상급 보안 전문가도 찾기 어려운 취약점을 수만 건씩 발견할 수 있다고 밝혔다.

실제로 미소스는 몇 주 만에 주요 운영체제와 웹 브라우저 전반에서 수천 건의 제로데이(Zero-day) 취약점을 발견했다. 제로데이란 아직 세상에 알려지지 않은 버그로 AI가 이를 발견했다면 진짜 추론 능력의 결과임이 증명된다. 

그중에는 보안성으로 유명한 오픈소스 운영체제 오픈BSD(OpenBSD)에 27년간 숨어 있던 버그도 포함됐다. FFmpeg라는 영상 처리 라이브러리에서는 16년 된 취약점이 발견됐는데 이 라이브러리는 그동안 500만 번 이상의 자동화 테스트를 거쳤음에도 해당 버그가 한 번도 검출되지 않았다.

미소스가 이전 모델들과 질적으로 다른 이유는 무엇일까? 앤트로픽이 공개한 기술 보고서에 따르면 핵심은 '장거리 추론(long-ranged reasoning)' 능력이다. 

보안 취약점 익스플로잇, 즉 버그를 실제 공격 코드로 전환하는 작업은 단계가 많고 복잡하다. 취약점을 발견한 뒤 그 근본 원인을 파악하고 소프트웨어의 메모리 구조와 실행 흐름을 추론하며 수십 번의 시도와 실패를 반복하면서 전략을 수정하고 최종적으로 작동하는 공격 코드를 완성해야 한다. 

기존 모델들은 각 단계를 부분적으로 수행할 수 있었지만 이 전체 과정을 사람 개입 없이 끝까지 유지하지 못했다.

수치가 이를 뒷받침한다. 앤트로픽의 이전 최강 모델인 오퍼스(Opus) 4.6은 파이어폭스 브라우저 자바스크립트 엔진의 취약점을 실제 공격 코드로 전환하는 실험에서 수백 번의 시도 중 단 2번만 성공했다. 미소스는 같은 실험에서 181번 성공했다. 

복잡한 다단계 소프트웨어 엔지니어링 능력을 측정하는 'SWE-bench Pro' 벤치마크에서도 미소스는 77.8%를 기록해 오퍼스 4.6의 53.4% 대비 46%p가량 향상됐다. 반면 단일 단계 과학 추론 능력을 측정하는 'GPQA 다이아몬드' 벤치마크에서의 향상폭은 4%에 불과했다. 

이 패턴은 미소스의 능력 향상이 긴 문제를 자율적으로 풀어가는 추론 능력의 도약에 집중돼 있음을 보여준다.

장문 컨텍스트 처리 능력의 향상도 핵심이다. 256K~1M 토큰에 달하는 긴 문서 안에서 추론의 질을 유지하는 능력을 측정하는 'GraphWalks BFS' 벤치마크에서 미소스는 80.0%를 기록했다. 오퍼스 4.6의 38.7%의 두 배가 넘는 수치다. 수만 줄짜리 코드베이스 전체를 읽고 멀리 떨어진 파일들 간의 상호작용에서 버그를 추론할 수 있게 됐다는 의미다.

여러 취약점을 연결해 더 강력한 공격 경로를 만드는 능력도 이전에는 없던 것이다. 미소스는 웹 브라우저에서 4개의 취약점을 자율적으로 엮어 브라우저 내부 렌더링 영역과 운영체제 샌드박스 모두를 탈출하는 복합 공격 코드를 작성했다. 

리눅스 커널에서는 여러 취약점을 연결해 일반 사용자 권한으로 시작해 시스템 전체를 장악하는 경로를 스스로 구성했다. FreeBSD 운영체제의 네트워크 파일 시스템 서버에서는 인증 없이 최고 권한 접근이 가능한 원격 코드 실행 취약점을 발견하고 20개의 명령어 조각을 여러 네트워크 패킷에 분산시키는 방식으로 공격 코드를 완성했다.

미소스는 소스 코드가 없는 소프트웨어도 분석할 수 있다. 컴파일된 바이너리 파일만 주어도 그것이 어떻게 동작하는지 역공학(reverse engineering)해 취약점을 찾아낸다. 이를 통해 스마트폰 펌웨어 취약점과 원격 서버 다운 공격 등도 발견했다.

앤트로픽은 미소스가 사이버보안을 목적으로 특별히 훈련된 게 아니라고 밝혔다. 코딩, 추론, 자율성의 범용적 향상이 임계점을 넘으면서 보안 능력이 자연 발현됐다는 것이다. 앤트로픽 내부의 비전공 엔지니어들이 미소스에게 원격 코드 실행 취약점을 찾아달라고 요청하고 다음 날 아침 완성된 공격 코드를 확인한 사례도 보고됐다.

우려를 더하는 대목도 있다. 테스트 과정에서 미소스는 샌드박스, 즉 외부와 격리된 제한 환경을 스스로 탈출하는 데 성공했다. 한 연구원은 공원에서 샌드위치를 먹다가 모델로부터 예상치 못한 이메일을 받고서야 이 사실을 알았다고 한다. 

모델은 지시받지 않았음에도 자신이 만든 공격 코드를 외부 웹사이트에 게시하기도 했다. 평가받고 있다는 것을 인지하고 의도적으로 성능을 낮추는 행동, 이른바 '샌드배깅'도 약 29%의 테스트 기록에서 감지됐다.

앤트로픽은 이 같은 위험성을 인식하면서도 방어 목적으로 먼저 활용돼야 한다는 입장이다. 프로젝트 글래스윙 참여 기업들은 미소스를 이용해 자사 및 오픈소스 소프트웨어의 취약점을 선제적으로 탐색하고 패치할 계획이다. 앤트로픽은 이 프로그램에 최대 1억 달러의 사용 크레딧을 투입하고 오픈소스 보안 단체에도 400만 달러를 기부하기로 했다.