[비욘드 미토스③] 접근권 확보는 시작…먼저 미토스 활용한 기업이 보여준 과제는? 작성일 06-09 26 목록 <div id="layerTranslateNotice" style="display:none;"></div> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="YIleDegRy8"> <div contents-hash="efb87ac8e7b773ed5ad34b9ef782c7635d441dd1fbc0266af8b25c726ad4fed8" dmcf-pid="GCSdwdaev4" dmcf-ptype="general"> <strong>앤트로픽의 사이버보안 협의체 ‘프로젝트 글래스윙’에 한국이 참여하면서 미토스를 활용한 국가 인프라 방어 체계 구축이 본격화 될 것으로 보인다. <디지털데일리>는 미토스 접근권 확보 이후 범정부 차원의 인프라 보안 실효성 점검, 정부부처간의 유기적 협력 체계, 그리고 AI 기반의 취약점 점검 및 이를 통한 보안 강화를 위한 방안을 집중 진단한다.<편집자></strong> </div> <figure class="figure_frm origin_fig" contents-hash="1dcbe940cec9d857e270dcaeee40650fbe228243875f0f7cbf41a54da538bac3" dmcf-pid="HhvJrJNdWf" dmcf-ptype="figure"> <p class="link_figure"><img class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202606/09/552796-pzfp7fF/20260609074016936oxhp.jpg" data-org-width="640" dmcf-mid="ypk2n2Q9lP" dmcf-mtype="image" height="auto" src="https://img3.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202606/09/552796-pzfp7fF/20260609074016936oxhp.jpg" width="658"></p> </figure> <p contents-hash="73639381abda5e496d246fa44fe354ad6c340ffd565e2bb260cb05a89395338a" dmcf-pid="XcDfofMVyV" dmcf-ptype="general">[디지털데일리 이상일기자] 한국인터넷진흥원(KISA)이 앤트로픽의 고성능 사이버보안 인공지능(AI) 모델 '클로드 미토스 프리뷰' 접근권을 확보한 것으로 전해졌다. 앤트로픽의 사이버보안 협력 프로그램 '프로젝트 글래스윙(Project Glasswing)' 참여를 통해서다. 프로젝트 글래스윙은 앤트로픽의 프론티어 AI 모델로 보안 취약점을 찾아내고 수정을 돕는 협력 프로그램이다.</p> <p contents-hash="8d7408962a1b0fc9c00f2a0d89594183d45061cfc376ee4d234fe39c8813fc87" dmcf-pid="Zkw4g4Rfl2" dmcf-ptype="general">앤트로픽은 지난 2일 프로젝트 글래스윙 참여 대상을 약 150개 신규 기관으로 확대한다고 발표했다. 신규 기관은 15개국 이상에 기반을 둔다. 전력·수도·의료·통신·하드웨어 등 초기 참여군에 부족했던 핵심 인프라 분야가 포함됐다. 각 기관은 접근권을 받기 전 앤트로픽이 요구하는 보안 요건을 충족해야 한다.</p> <p contents-hash="53be8966ba26c3834f2e3d76c5955296c0f5e6b7b1fc0fbf213297ed982d3876" dmcf-pid="5Er8a8e4h9" dmcf-ptype="general">미토스는 일반 공개 모델이 아니다. 앤트로픽은 4월 프로젝트 글래스윙을 처음 발표하며 AWS, 애플, 브로드컴, 시스코, 크라우드스트라이크, 구글, JP모건체이스, 리눅스재단, 마이크로소프트, 엔비디아, 팔로알토네트웍스 등을 초기 파트너로 공개했다. 회사 측은 이 밖에 핵심 소프트웨어 인프라를 운영하는 40개 이상 기관에도 접근권을 제공했다고 밝혔다.</p> <p contents-hash="dd79e880459485ca95cca3797b118f49a0588dd74137eeb85f560ff5bdab74f6" dmcf-pid="1Dm6N6d8TK" dmcf-ptype="general">해외 활용 방식은 단순 보안 점검 도구를 넘어선다. 기업 내부 코드베이스를 대규모로 훑고 취약점 검증과 패치까지 연결하는 형태다. 앤트로픽은 초기 약 50개 파트너와 함께 전 세계 주요 소프트웨어에서 고위험 또는 치명적 취약점 1만건 이상을 찾아냈다고 설명했다. 회사 측은 보안의 병목이 '취약점 발견'에서 '검증·공개·패치'로 이동했다고 밝혔다.</p> <p contents-hash="48d2cc72aee88ca162eea687cbbc4e31f258da36f0bf5a7ca5834a5516540715" dmcf-pid="twsPjPJ6Tb" dmcf-ptype="general">AWS는 미토스를 주요 코드베이스의 보안 리뷰에 적용했다. 내부 테스트에서 이전 모델보다 적은 수동 지시로 실행 가능한 보안 발견사항을 제시했다고 설명했다. 일부 고객에게는 아마존 베드록을 통한 게이트형 연구 프리뷰로 조기 접근을 제공했다.</p> <p contents-hash="45d0543163ff9c2abc67acf01aa8745d5e6c85956bce1d80ce39ef3fb3464a18" dmcf-pid="FrOQAQiPSB" dmcf-ptype="general">마이크로소프트는 미토스를 자사 보안대응센터(MSRC)의 취약점 대응 업무와 연결해 평가하고 있다. 자체 벤치마크 'CTI-REALM' 평가에서 이전 모델보다 개선됐다고 설명했다. 다만 정확성과 품질 유지를 위해 인간 개발자가 계속 개입한다고 밝혔다. 구글은 미토스를 일부 구글 클라우드 고객에게 버텍스 AI 프라이빗 프리뷰로 제공한다고 밝혔다.</p> <p contents-hash="84d7ea95c174500d0dfdb1181501da0ebd89084b9b1b400e4e2d9974e8dac53f" dmcf-pid="3mIxcxnQWq" dmcf-ptype="general">보안업체 팔로알토네트웍스는 미토스 등 프론티어 AI 모델로 130개 이상 제품을 스캔했다. 5월 보안 공지에서 26개 CVE와 75개 이슈를 공개했다. 평소 월간 CVE 공개가 5개 미만이었던 점과 비교된다. 다만 이 스캔은 미토스 단독이 아니라 클로드 Opus 4.7, 오픈AI(OpenAI)의 GPT-5.5-Cyber를 함께 사용한 결과다. 팔로알토 측은 모델마다 찾는 취약점이 달라 복수 모델이 필요했다고 설명했다.</p> <p contents-hash="e1c25bc2d1facc54af1539cc7ba80693b0e8e1b80e68eb35060f18c0bf798320" dmcf-pid="0sCMkMLxyz" dmcf-ptype="general">모질라는 활용 결과를 구체적으로 공개했다. 파이어폭스 150 릴리스에 미토스 초기 버전 평가에서 식별된 271개 취약점 수정을 포함했다고 밝혔다. 다만 파이어폭스 150 공식 어드바이저리(MFSA 2026-30)에 등재된 CVE는 41개이며, 미토스에 직접 귀속된 건은 3개다. 271개 다수는 저심각도이거나 공개 CVE 기준에 못 미치는 방어 강화성 버그다. '취약점 수정'과 '공개 취약점'은 구분이 필요하다.</p> <div contents-hash="b61cd6f6b47cef66a6a1aee2b279aecd333b3dff7c7052212f4ec4fb75618c6a" dmcf-pid="pOhRERoMT7" dmcf-ptype="general"> 오라클은 미토스와 오픈AI 사이버보안 모델 접근권을 활용해 소프트웨어와 오픈소스 구성요소의 취약점 식별 속도를 높이고 있다고 밝혔다. 5월부터 월간 중요 보안 패치 업데이트를 도입한다고 설명했다. 다만 5월 첫 월간 패치(35건)에서 AI에 귀속된 공개 취약점은 없는 것으로 전해졌다. 접근권 보유와 실제 발견 기여는 아직 다른 단계다. </div> <figure class="figure_frm origin_fig" contents-hash="982899a3d793b4d24a1dd622a26e829cd3b0cf2fd393009be057e31f03b6ce47" dmcf-pid="U13DYDCEWu" dmcf-ptype="figure"> <p class="link_figure"><img class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202606/09/552796-pzfp7fF/20260609074018252gwru.png" data-org-width="640" dmcf-mid="WXBhFhYCW6" dmcf-mtype="image" height="auto" src="https://img2.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202606/09/552796-pzfp7fF/20260609074018252gwru.png" width="658"></p> </figure> <p contents-hash="9e3cbc9596b3bfa490a8d14e8b5fa41a7c2a841bd0f2365ee638d7078c2248ee" dmcf-pid="ut0wGwhDWU" dmcf-ptype="general">금융 인프라에서도 배치 사례가 나왔다. 뉴욕증권거래소 모회사 인터컨티넨털익스체인지(ICE)는 3일 프로젝트 글래스윙 참여를 발표하며 미토스를 자사 사이버보안 인프라에 배치했다고 밝혔다. 거래소, 청산소, 데이터 서비스 전반에 적용하되 배포와 보안 아키텍처는 ICE가 관리한다고 설명했다.</p> <p contents-hash="d055a4f25322d7e60b03a76b953f879a18c837d9eacf5460979044293e221f3d" dmcf-pid="7FprHrlwyp" dmcf-ptype="general">보안 업계의 한 관계자는 "해외 활용 방식은 AWS·팔로알토·모질라처럼 내부 코드베이스를 대규모로 스캔하는 방식과 마이크로소프트·오라클처럼 기존 보안대응센터나 패치 프로세스에 AI 탐지 결과를 연결하는 방식, 그리고 베드록·버텍스 AI·파운드리처럼 선별된 고객에게 클라우드로 제한 접근을 제공하는 방식으로 풀이된다"고 전했다.</p> <p contents-hash="54790c8a738e43af1f302d5e3f7515965209e79acb4ee6fda1630bac0d488f2b" dmcf-pid="z3UmXmSrh0" dmcf-ptype="general">미토스가 보안 패러다임의 변화를 이끌 것으로 보이지만 미토스 활용에는 정보공개와 오남용 통제도 문제로 지적된다.</p> <p contents-hash="7a74a5cbbe4c0632d387a89ce9768582e00a73a64f57c21084364ae5d601ce2c" dmcf-pid="q0usZsvmv3" dmcf-ptype="general">미토스는 방어용 탐지뿐 아니라 자율적 다단계 네트워크 공격도 수행할 수 있다. 이러한 양날의 검 성격이 접근권을 둘러싼 통제 논의의 핵심이다. 앤트로픽은 참여자들이 미토스로 찾은 위협 정보와 도구를 다른 기업 보안팀, 규제기관, 정부기관, 오픈소스 메인테이너 등과 공유할 수 있도록 입장을 수정했다. 단 책임 있는 취약점 공개 관행을 따라야 한다는 조건을 달았다.</p> <p contents-hash="da54dc9004cb72dd5ccd0e61cc7f0dae0a03b71bc8ea5c2326e9282c624e7497" dmcf-pid="Bp7O5OTsSF" dmcf-ptype="general">미토스에 대한 접근권한 확보가 우리나라 보안 취약점에 대한 해답은 아니다. 팔로알토는 미토스 단독이 아니라 클로드 Opus 4.7, 오픈AI(OpenAI)의 GPT-5.5-Cyber를 함께 사용한 결과라는 점을 분명히 했다. 팔로알토 측은 모델마다 찾는 취약점이 달라 복수 모델이 필요했다고 설명했다. 모질라도 모델 외에 버그 중복 제거, 추적, 패치 출하까지 연결하는 별도 보안 파이프라인이 필요했다고 밝혔다.</p> <p contents-hash="d4090981188ffe52d8defbd9ca777d1e9d761c648d4c142d01d24cd30ea9a887" dmcf-pid="bUzI1IyOTt" dmcf-ptype="general">무엇보다 KISA의 역할이 중요해질 전망이다. 해외 사례에서 성과는 모델 자체가 아니라 취약점 검증·중복 제거·패치 연결로 이어지는 자체 파이프라인에서 나왔다는 평가다. KISA가 접근권을 성과로 전환하려면 발견된 취약점을 검증하고 국내 기관에 공유·반영하는 운영 체계가 함께 필요하다.</p> <p contents-hash="601992885deb7bf1c5f40490b49f08c8ef268c4558a74616240d68e683153981" dmcf-pid="KuqCtCWIy1" dmcf-ptype="general">앤트로픽은 참여자들이 위협 정보와 도구를 다른 기업 보안팀, 규제기관, 정부기관, 오픈소스 메인테이너 등과 공유할 수 있도록 입장을 수정했다. 단 책임 있는 취약점 공개 관행을 따라야 한다는 조건을 달았다. KISA의 발견 정보를 누구와 어디까지 공유할지에 대한 국내 기준 마련이 과제라는 지적이다.</p> </section> </div> <p class="" data-translation="true">Copyright © 디지털데일리. All rights reserved. 무단 전재 및 재배포 금지.</p> 관련자료 이전 "폴더블 아이폰·스마트 안경 '티저'도 없어"…AI 신기능에만 집중한 애플 06-09 다음 SKT만 100% 상승…통신사 주가 '희비' 06-09 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
