_AI가 취약점을 찾는 속도 ≫ 인간이 패치하는 속도. 사이버 보안 병목이 뒤집힘._
📌 한 줄 요약
미공개 모델 "Claude Mythos Preview"를 약 50개 핵심 인프라 파트너에 제공해 1개월 만에 고위험·치명적 취약점 10,000개+ 발견. 이제 병목은 "발견"이 아니라 "검증·공개·패치".
━━━━━━━━━━━━━━━
📊 핵심 숫자
▪️ Cloudflare: 2,000개 버그 발견 (400개 고위험/치명적), 오탐률이 인간 테스터보다 낮음
▪️ Mozilla Firefox 150: 271개 취약점 발견·수정 — Firefox 148(Claude Opus 4.6 사용) 대비 10배+
▪️ UK AI Security Institute: 사이버 레인지(다단계 공격 시뮬레이션) 2개를 end-to-end로 푼 최초의 모델
▪️ XBOW: "기존 모든 모델 대비 의미 있는 도약", 토큰당 정밀도 "전례 없음"
▪️ 일부 파트너 버그 발견 속도 10배+ 향상
━━━━━━━━━━━━━━━
🔍 오픈소스 스캔 결과
▪️ 1,000개+ 오픈소스 프로젝트 스캔
▪️ 총 23,019개 취약점 탐지 — 그중 6,202개를 Mythos가 고위험/치명적으로 평가
▪️ 1,752개를 외부 보안 기업 6곳이 검증 → 90.6%가 진성(true positive), 62.4%가 고위험 확정
▪️ 이 추세 유지 시 최종 고위험/치명적 약 3,900개 예상
▪️ 현재 530개 공개, 75개 패치 완료, 65개 공식 권고 발행
━━━━━━━━━━━━━━━
💥 대표 사례
▪️ wolfSSL (전 세계 수십억 기기가 쓰는 암호 라이브러리)에서 공격자가 인증서를 위조해 은행·이메일 사이트를 완벽 사칭할 수 있는 취약점 발견 — CVE-2026-5194로 등록·패치 완료
▪️ 파트너 은행에서 150만 달러 사기 송금 차단 (계정 탈취 + 음성 사칭 콜)
▪️ Palo Alto Networks 최신 릴리즈 패치 수: 평소 대비 5배+
▪️ Microsoft·Oracle도 패치 속도 대폭 증가
━━━━━━━━━━━━━━━
⚠️ 새로운 구조적 병목
▪️ 고위험 버그 평균 패치 소요 2주
▪️ 오픈소스 메인테이너들 "공개 속도 늦춰달라" 요청 — 처리 한계 초과
▪️ AI가 만든 저품질 버그 리포트가 이미 메인테이너들을 압박 중
▪️ 발견은 쉬워지고 수정은 어려운 비대칭이 새 공격 표면을 만들어냄
━━━━━━━━━━━━━━━
🔒 Mythos는 왜 일반 공개 안 하는가
Anthropic을 포함해 어느 AI 기업도 Mythos급 모델의 오남용을 막을 안전장치를 충분히 확보하지 못함. 다른 곳에서 안전장치 없이 풀리면 누구나 저비용으로 소프트웨어 공격 가능 → Glasswing은 그 전에 핵심 인프라부터 강화하는 선제 방어 작전.
일반 기업용: Claude Security (퍼블릭 베타, Claude Enterprise) — 출시 3주 만에 Claude Opus 4.7로 2,100개 취약점 패치.
━━━━━━━━━━━━━━━
🛠 ️ 지금 방어자가 해야 할 일
▪️ 개발자: 패치 주기 단축, 사용자 업데이트 강제·편의성 강화
▪️ 네트워크 방어자: 패치 테스트·배포 시간 단축, MFA 강제, 기본 설정 하드닝, 로깅 강화
▪️ NIST/NCSC 기본 컨트롤이 "단일 패치 의존도"를 줄이므로 더 중요해짐
━━━━━━━━━━━━━━━
🎯 시사점 (해석)
▪️ Web3 관점: 스마트컨트랙트·DeFi 프로토콜에도 동일한 압력 — AI 감사 능력 가속화 시 오프체인 인프라·관리자 키·프론트엔드 등 비교적 덜 검토된 표면이 새 약점
▪️ 정보 비대칭 확대: 보안 AI 도구 접근권을 가진 조직 vs 못 가진 조직 격차가 커짐 → 거래소·커스터디·인프라 운영자의 패치 속도가 새로운 차별화 변수
▪️ "발견-패치 간극"이 길어질수록 N-day 익스플로잇 가치 상승 — 공격자 인센티브 변화 주시 필요
━━━━━━━━━━━━━━━
🔗 원문: https://www.anthropic.com/research/glasswing-initial-update