보안 관점에서 본 Mythos의 의미

Anthropic의 Mythos Preview 관련해서 나온 최근 이야기들을 보면, 단순히 모델 성능이 좋아졌다는 얘기보다는 취약점이 발견된 이후 실제로 활용되기까지의 속도가 어떻게 달라질 수 있는지가 더 중요하게 느껴집니다.

이걸 그냥 AI 성능이 한 단계 더 올라갔다고 볼 수도 있지만, 실제로 의미 있는 변화는 타이밍 쪽에 있는 것 같습니다. 취약점 식별부터 익스플로잇 개발, 그리고 검증까지 이어지는 과정은 그동안 높은 수준의 전문성과 함께 일정한 시간이 필요했던 영역인데, Mythos는 이 시간 자체가 꽤 줄어들 수 있다는 가능성을 보여주고 있습니다.

공개된 사례를 보면 차이가 꽤 분명합니다. 기존 모델은 특정 취약점에 대해 수백 번 시도하는 과정에서 실제로 동작하는 익스플로잇을 만들어낸 경우가 2회 수준에 그쳤던 반면, Mythos는 181개의 working exploit을 만들어냈고 추가로 29건에서는 register control까지 달성한 것으로 언급됩니다. 물론 평가 환경이나 조건 차이는 있겠지만, 이 정도 차이면 단순한 성능 개선이라기보다는 방향 자체가 바뀌고 있다고 보는 게 자연스럽습니다.

접근 방식도 같이 볼 필요가 있습니다. Mythos는 일반 공개가 아니라 Project Glasswing을 통해 일부 기술 기업, 보안 기업, 금융 기관에 제한적으로 제공되고 있고, 동시에 미국 금융 당국이 주요 기관들을 대상으로 관련 리스크를 논의했다는 점을 보면, 이 이슈가 단순히 기술적인 관심을 넘어서 점점 더 큰 범위의 리스크로 받아들여지고 있다는 흐름도 읽힙니다.

이 이슈에서 더 중요한 포인트는, 기존에 고숙련 보안 연구자나 공격자에게 요구되던 취약점 분석 → 익스플로잇 개발 → 검증 과정의 진입장벽과 소요 시간이 크게 낮아질 수 있다는 점입니다.

앞으로는 “취약점이 존재하는가”보다, “얼마나 빠르게 무기화될 수 있는가”가 더 중요한 기준이 될 가능성이 큽니다.

또 하나 같이 봐야 할 부분은 AI 활용 방식입니다. 앞으로는 단순히 프롬프트를 잘 쓰는 것만으로 차이가 나지는 않을 가능성이 큽니다. 오히려 AI를 하나의 프로세스 안에 넣어서 분석, 생성, 검증, 개선이 반복적으로 돌아가는 구조를 어떻게 만들 것인지가 더 중요해질 것 같습니다.

공격자 입장에서는 단발적인 사용에 그치지 않고, 결과를 계속 테스트하고 수정하면서 개선하는 루프를 만드는 방향으로 갈 가능성이 높고, 이런 구조가 만들어지면 속도는 단순히 빨라지는 걸 넘어서 실제로 안정적으로 활용 가능한 수준으로 이어지게 됩니다.

반대로 방어 쪽을 보면, 아직 많은 조직이 AI를 개별적인 활용 사례 수준에서 실험하는 단계에 머물러 있고, 이를 검증 환경이나 자동화된 테스트, 반복적으로 돌아가는 피드백 구조까지 연결하고 있는 경우는 많지 않습니다. 이런 구조가 없는 상태에서는 반복과 개선을 기반으로 하는 접근 방식의 속도를 따라가기가 점점 더 어려워질 수밖에 없습니다.

이걸 이렇게 보면, 공격자 쪽 변화에 대한 신호이기도 하지만 동시에 방어 측에서 AI를 어떻게 쓰고 있는지가 꽤 다르다는 점도 같이 드러납니다. 기술 자체에 대한 접근성보다는, 이걸 실제 운영 안에 얼마나 깊게 녹여냈는지가 더 큰 차이를 만드는 요소가 됩니다.

이 흐름은 탐지와 대응 방식에도 그대로 이어집니다. 이제는 특정 시점의 이상 징후를 찾아내는 것만으로는 충분하지 않고, 그 징후가 얼마나 빠르게 나타나고 변화해서 실제 위협으로 이어질 수 있는지를 따라가는 게 더 중요해지고 있습니다. 취약점 발견과 활용 사이의 시간이 짧아질수록 대응이 늦어질 수 있는 여유도 자연스럽게 줄어들게 됩니다.

물론 모든 취약점이 동일한 패턴으로 전개되는 건 아니고, 현실적인 제약도 계속 존재하겠지만, 방향 자체는 충분히 명확해 보입니다. 이런 변화는 보안 조직이 노출 관리나 우선순위 설정, 그리고 대응 방식을 어떻게 가져가야 하는지에 계속 영향을 줄 가능성이 큽니다.

결국 점점 더 분명해지는 건 압박이 걸리는 지점이 바뀌고 있다는 점입니다. 어떤 것이 가능한가보다는, 그걸 얼마나 빠르게 실행할 수 있느냐 쪽으로 중심이 이동하고 있고, 이 변화는 한 번에 크게 느껴지기보다는 시간이 지나면서 의사결정 전반에 계속 영향을 주게 됩니다.

작성자: 이시우 Threat Analyst | DeepACT MDR Center