앤트로픽, 사이버 접근을 3단계로 나누고 Glasswing을 합쳤습니다

사이버 보안은 본래 이중 용도입니다. 보안팀이 취약점을 찾아 고치게 해 주는 바로 그 능력이 악의적 행위자가 그 취약점을 악용하는 일도 도울 수 있습니다.— 앤트로픽, 사이버 검증 프로그램 확대 발표문

이중 용도는 같은 능력이 방어와 공격에 모두 쓰이는 상태를 말합니다. 그래서 앤트로픽은 일반에 파는 모델에 보수적인 사이버 안전장치를 걸어 대부분의 사이버 작업을 막아 두었습니다. 7월에 공개한 분류 기준을 보면 모의 해킹과 익스플로잇 개발은 막히고 로그 분석과 악성코드 역분석은 열리는데, 막는 기준으로 적힌 것은 능력보다 맥락이었습니다. 누가 어떤 승인을 받고 하는 일인지 확인할 수단이 없어 일단 막는다는 설명이었고, 이번 개편은 그 맥락을 신원과 보안 통제로 확인해 단계를 나눈 것입니다.

3단계가 각각 무엇을 여는가

Red Team Access에서도 실시간 차단이 남습니다. 랜섬웨어 배포나 물리 설비 손상처럼 사람을 다치게 하거나 큰 혼란을 부르는 행위, 고위험 안전 시스템을 상대로 한 모의 해킹은 이 단계에서도 막힙니다. 개인 자격으로 신청할 수 있는 것은 Defense Access뿐이고 유료 요금제를 써야 하며, 나머지 두 단계는 기관만 신청할 수 있습니다.

보안 요건도 단계마다 다릅니다. Defense Access는 신원 확인과 보안 통제 확인서를 내면 되고, Red Team Access는 사업자 확인과 피싱에 견디는 인증, 통제된 자격증명, 좌석 단위 접근을 갖춰야 합니다. Specialized Access는 수명이 짧은 자격증명과 단말·네트워크 통제, 신원 조회, 좌석 수 제한까지 요구합니다. Defense Access 사용자도 12월 15일까지는 피싱에 견디는 다중 인증으로 옮기고 API 키 사용을 멈춰야 하며, 그때까지 API 키는 7일마다 만료됩니다.

심사 기간은 2영업일에서 7영업일이 됐습니다

바뀐 것은 범위만이 아닙니다. 개편 전 도움말 문서는 신청 결과를 2영업일 안에 이메일로 보내는 것을 목표로 한다고 적었는데, 새 문서는 결정이나 추가 자료 요청을 7영업일 안에 보내는 것을 목표로 한다고 적습니다. 신청은 기관당 한 번이고, 받은 정보로 가장 높은 단계를 배정합니다.

승인 뒤에도 기다릴 시간이 남습니다. 서드파티 클라우드에서는 Mythos 접근이 승인보다 약 5영업일 늦게 열립니다. CVP는 Claude 플랫폼과 구글 클라우드 버텍스 AI, 마이크로소프트 Foundry에서 쓸 수 있고, 아마존 베드록에서는 Enterprise Frontier Safeguards 자격이 있는 고객만 쓸 수 있습니다. 베드록이 자동 안전 경보에 대한 사람 검토를 아직 지원하지 않는다는 것이 이유입니다.

데이터 보존은 의무입니다. 앤트로픽은 프로그램 안에서 오용을 감시하려고 대화 기록을 남기게 하고, 가을에 Enterprise Frontier Safeguards가 나오면 자격이 되는 기관은 자기가 통제하는 클라우드에 기록을 둘 수 있다고 적었습니다. 그전까지는 Fable 5.1이나 Mythos 5.1을 기록 미보존으로 쓰던 기관만 같은 조건으로 CVP를 쓸 수 있습니다.

차단 시험 결과를 숫자로 냈습니다

앤트로픽은 단계별 안전장치가 실제로 어떻게 작동하는지 CyScenarioBench로 쟀습니다. 현실적인 제약 아래에서 여러 단계로 이어지는 사이버 작전을 계획하고 실행할 수 있는지 보는 평가이고, 과제 10개를 단계마다 5번씩, 모두 50번 돌렸습니다. 쓴 모델은 Claude Opus 5.5입니다.

Red Team Access의 34번은 안전장치를 모두 끈 상태의 67.6%와 사실상 같은 성적입니다. 앤트로픽은 이 결과를 두고 더 넓은 방어자에게 고급 사이버 능력을 안전하게 열 수 있다는 확인으로 적었고, 단계별 분류기를 계속 다듬겠다고 덧붙였습니다.

이 평가에 들어가는 과제는 공격 시나리오를 그대로 다루기 때문에, 앤트로픽은 기본 모델과 Defense Access에서는 상당한 차단이 나오고 나머지 두 단계에서는 차단이 없을 것으로 예상했다고 적었습니다. 결과는 그 예상과 맞았습니다.

Glasswing이 6개월 동안 찾은 것

이번 개편의 근거는 Project Glasswing의 성과입니다. 앤트로픽은 파트너들이 4월부터 7월까지 검증된 소프트웨어 취약점을 12만 9,000건 넘게 찾았고, 앤트로픽이 직접 오픈소스를 훑어 4월부터 10월까지 5,500건을 더 찾았다고 밝혔습니다. 검증된 취약점 가운데 3만 3,000건 넘게 치명 또는 높음 등급을 받았습니다.

표를 보면 후보 59만 5,597건 가운데 사람이 선별한 것이 20만 8,175건이고, 그중 진짜 취약점으로 확인된 것이 13만 5,610건입니다. 패치까지 간 것은 9,333건입니다. 앤트로픽은 패치 수가 크게 과소집계됐다고 적었습니다. 파트너의 절반 이하만 패치 숫자를 알려 줬고, 고치는 중인 곳이 많기 때문입니다.

이 숫자가 파트너 33곳의 설문에서 나왔다는 점도 함께 적혀 있습니다. 앤트로픽은 참여 기관 일부만 답한 자료라 실제 결과는 최소 5배 클 것으로 본다고 했습니다. 여러 파트너가 같은 수의 취약점을 모델 없이 찾으려면 몇 달에서 몇 년이 더 걸렸을 것이라고 답했습니다.

파트너 두 곳이 밝힌 사례

같은 날 공개된 파트너 사례에서 컴캐스트는 업무에 중요한 시스템 258개, 약 1억 7,000만 줄의 코드를 점검하면서 외부에 열린 플랫폼에서 인증을 우회할 수 있는 치명 취약점을 찾았다고 밝혔습니다. 공격에 쓰인 흔적이 확인되기 전에 고쳤습니다. 부품 하나의 결함보다는 여러 시스템이 서로를 믿는 방식에서 생긴 문제였습니다.

발견은 빨라지고 있습니다. 발견은 쉬워지고 있습니다. 발견의 양은 엄청납니다. 이 많은 발견을 검증하는 일이 새로운 병목입니다.— 누푸르 데이비스, 컴캐스트 최고정보보안·제품프라이버시책임자

부즈앨런은 짧은 점검 기간에 사람이 읽을 수 있는 코드의 양이 한계라고 적었습니다. 실제 공격은 코드와 설정, 권한, 배포 설정에 흩어진 작은 약점을 이어 붙여 만들어지는데, 그 연결을 손으로 따라가는 일이 어렵다는 설명입니다.

분석가 한 명이 12일 동안 운영 시스템 8개, 저장소 138개를 검토했습니다. Mythos가 없었다면 그 규모의 점검에는 더 큰 팀으로 몇 달이 걸렸을 것입니다.— 브래드 메데이리, 부즈앨런 국가사이버보안 부문 대표

점검 속도가 빨라지면서 일의 종류가 달라졌습니다. 모델이 후보를 빠르게 많이 만들고, 사람은 그 후보가 진짜인지 확인하고 중복을 묶고 담당자에게 보내는 일을 합니다. 앞의 표에서 후보 59만 건이 진짜 취약점 13만 건으로 줄어드는 구간이 그 작업입니다.

내보내지 않겠다던 모델이 세 단계 모두에 들어갑니다

6개월 전 앤트로픽의 설명은 달랐습니다. 4월 Project Glasswing 발표문에는 Claude Mythos Preview를 일반에 내놓을 계획이 없다고 적혀 있었고, 5월 중간 보고에는 어떤 회사도 이런 모델의 오용을 막을 만큼 강한 안전장치를 아직 만들지 못했으며 그래서 Mythos급 모델을 공개하지 않았다고 적혀 있었습니다. 이번 개편에서는 세 단계 모두에 Mythos 5.1이 들어갑니다. 바뀐 것은 모델을 푸는 범위이고, 그 대신 신원 확인과 보안 통제, 데이터 보존, 단계별 분류기가 조건으로 붙었습니다.

Mythos급 모델이 무엇을 찾아내는지는 지난 6개월 동안 기록으로 남았습니다. 4월 발표문에는 27년 묵은 OpenBSD 취약점과 자동화 도구가 500만 번 지나친 FFmpeg 취약점을 모델이 사람 지시 없이 찾아냈다는 사례가 실렸고, 7월에는 암호 알고리즘 자체의 수학적 약점 두 가지를 찾아 논문으로 냈습니다. 같은 능력을 방어자에게 주는 일과 공격자에게 주는 일이 같은 모델 안에 있다는 것이 프로그램 전체의 전제입니다.

열어 주는 쪽과 그냥 풀린 쪽

앤트로픽이 단계를 나눠 여는 동안, 같은 능력이 심사 없이 풀리는 일도 함께 일어났습니다. 9월 30일 앤트로픽은 중국 Z.ai의 오픈모델 GLM-5.3이 사이버 공격을 사람 손을 거의 거치지 않고 만들 수 있는데 안전장치는 쉽게 풀린다고 밝혔고, 미국 CAISI는 그 모델을 오픈웨이트 가운데 사이버 능력이 가장 높다고 평가했습니다. 한쪽은 신원과 보안 통제를 확인해 단계별로 열고, 다른 한쪽은 누구나 내려받습니다.

영국 AI보안연구소는 7월에 오픈웨이트와 폐쇄형의 사이버 격차를 4~7개월로 측정하면서 그 기간을 방어자의 준비 기간으로 불렀습니다. CVP 개편은 그 기간 안에 방어자 수를 늘리려는 조치에 가깝습니다. 앤트로픽도 이번 글에서 Glasswing의 효과를 훨씬 많은 사이버 방어자에게 넓히려는 목적이라고 적었습니다.

접근을 넓히는 일은 전에도 막혔습니다

앤트로픽이 Mythos 접근을 넓히려 할 때 미국 정부가 제동을 건 적이 있습니다. 월스트리트저널이 먼저 보도하고 블룸버그가 전한 바로는, 4월 말 백악관은 앤트로픽이 약 70곳으로 접근을 넓히려는 계획에 반대한다고 회사에 알렸습니다. 안전장치가 충분하지 않다는 우려였습니다. 6월에는 Glasswing 확대 직후 백악관이 SK텔레콤의 접근을 회수하라고 요구했고, 앤트로픽은 곧바로 따랐습니다. 같은 달 수출통제로 Fable 5와 Mythos 5가 모든 고객에게서 18일 동안 내려간 일도 있었습니다.

그래서 Specialized Access의 심사에 미국 정부가 함께 들어간다는 문장은 새 조건이 아닙니다. 앤트로픽은 미국과 해외 모두에서 자격이 되는 기관을 늘리는 일을 미국 정부와 계속 협의하고 있다고 적었습니다. 자격이 갈리는 조건으로는 기관이 하는 일의 성격, 신원 확인 가능 여부, 그 기관이 속한 법·규제 환경과 능력이 다른 곳으로 넘어갈 위험, 최종 고객이 누구인지를 들었습니다. 군과 정보기관, 법집행기관이 주요 고객인 기관에는 더 보수적으로 접근한다고 밝혔습니다.

한국 조직에 달라지는 것

국내에서 방어 업무를 하는 조직은 Defense Access가 현실적인 시작점입니다. 보안관제와 사고 대응, 악성코드 역분석, 취약점 검증이 이 단계에 들어가고, 신청 자격에 기업과 대학, 정부 기관의 보안팀과 규모가 작은 기반시설 운영자, 오픈소스 관리자가 함께 적혀 있습니다. 모의 해킹을 업으로 하는 국내 보안 회사라면 Red Team Access를 신청하게 되는데, 사업자 확인과 피싱에 견디는 인증, 좌석 단위 접근 통제를 먼저 갖춰야 합니다.

국내 기관이 이 프로그램에 들어간 적도 있습니다. 6월 Glasswing 확대 때 참여 기관에는 SK텔레콤과 삼성전자, 한국인터넷진흥원이 들어 있었고, 그중 SK텔레콤은 백악관 요구로 접근이 회수됐습니다. 이번 개편에서 기존 Glasswing 참여 기관이 Specialized Access로 옮겨 간다고 했으니 국내 기관 두 곳이 어떻게 되는지가 걸리는데, 앤트로픽은 기관 이름을 공개하지 않았습니다.

걸리는 지점은 데이터 보존입니다. 금융과 공공은 대화 기록이 밖에 남는 조건을 그대로 받기 어렵고, 지금 기록 미보존으로 쓸 수 있는 길은 Fable 5.1이나 Mythos 5.1을 이미 그 조건으로 쓰는 기관에만 열려 있습니다. 자기가 통제하는 클라우드에 기록을 두는 Enterprise Frontier Safeguards는 가을로 예고됐습니다. 9월 30일 서울 리전 안에서 Claude를 쓰는 길이 열렸지만 그 통로인 아마존 베드록에서는 CVP가 Enterprise Frontier Safeguards 고객에게만 열립니다.

Mythos 5.1을 개인 요금제로 쓸 때의 한도도 정리됐습니다. Pro에서는 사용량 크레딧을 켜야 쓸 수 있고, Max에서는 Mythos 5.1과 Fable이 주간 한도의 최대 50%를 함께 나눠 씁니다. 앤트로픽은 10월 14일 오전 9시(미국 태평양 시각)에 이 프로그램을 설명하는 웨비나를 엽니다.

평가 환경에서 벌어진 사고를 공개하고 정렬 실패로 다시 진단한 회사가, 같은 능력을 더 많은 기관에 나눠 주는 쪽으로 왔습니다. 9월에는 그 사고의 독립 조사를 평가 기관 METR에 맡긴다고 밝혔습니다.

앤트로픽은 오픈소스와 기반시설 보안에 대해 앞으로 몇 주 안에 더 공개하겠다고 적었습니다. 그때 숫자가 나오면 다시 전하겠습니다.

읽어 주셔서 고맙습니다.

초이 드림