‘글래스윙’ 외 선택지 넓어져… AI 탐지·검증 역량 결집해야 [미토스 그 후④] 작성일 05-22 32 목록 <div id="layerTranslateNotice" style="display:none;"></div> <strong class="summary_view" data-translation="true">티오리·엔키화이트햇, AI 기반 취약점 탐지·검증 실전 채비 <br>오픈AI TAC 협력 논의·MS MDASH까지…방어 활용 속도 내야</strong> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="4c08vKFYRL"> <p contents-hash="074133464a06288703ac1912ea861d83d70462ac34a82992afae4ea5970e4325" dmcf-pid="8kp6T93GJn" dmcf-ptype="general">앤트로픽의 '클로드 미토스 프리뷰(Claude Mythos Preview)'와 '프로젝트 글래스윙(Project Glasswing)'이 인공지능(AI) 기반 취약점 탐지 경쟁에 불을 붙였지만, 한 달여가 지난 지금 국내 대응을 미토스 접근권 확보에만 묶어둘 필요는 없어졌다. 오픈AI가 한국 정부와 사이버 보안 협력 논의를 시작했고, 국내 보안 기업이 AI를 활용해 미토스 못지않은 취약점 탐지 성과를 거뒀다.</p> <div contents-hash="0ed55a3650c0b74c13bf63a1ebf97c29fef24785f2413be10e0e8f6ed1492a02" dmcf-pid="6eyuEtvmni" dmcf-ptype="general"> 이제는 핵심이 특정 프런티어 모델 접근권 확보에만 있지 않다는 것이다. 미토스만 숨겨진 취약점을 찾아내거나 의외의 복합 공격 경로 구성이 가능한 것은 아니기 때문이다. AI를 어떤 문제에 적용하고, 누가 검증하며, 어떤 절차로 패치까지 연결하느냐에 따라 방어자도 충분한 탐지 역량을 확보할 수 있다. </div> <figure class="figure_frm origin_fig" contents-hash="0c6e462e9700ba6b243d050f45077adb0df551b636c7b471ea72377710db6967" data-idxno="443668" data-type="photo" dmcf-pid="PdW7DFTseJ" dmcf-ptype="figure"> <p class="link_figure"><img alt="앤트로픽 미토스와 프로젝트 글래스윙으로 촉발된 AI 보안 경쟁에 오픈AI와 마이크로소프트 등이 뛰어들면서 한국에게는 선택지가 좀 더 넓어졌다. / 챗GPT 생성" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202605/22/552810-SDi8XcZ/20260522064527282nmav.png" data-org-width="600" dmcf-mid="fV59I7XSMo" dmcf-mtype="image" height="auto" src="https://img2.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202605/22/552810-SDi8XcZ/20260522064527282nmav.png" width="658"></p> <figcaption class="txt_caption default_figure"> 앤트로픽 미토스와 프로젝트 글래스윙으로 촉발된 AI 보안 경쟁에 오픈AI와 마이크로소프트 등이 뛰어들면서 한국에게는 선택지가 좀 더 넓어졌다. / 챗GPT 생성 </figcaption> </figure> <p contents-hash="f552ae843f5b367ea8aec758d1e7864f78f932cd44109054b10db7dbd2059a28" dmcf-pid="QJYzw3yORd" dmcf-ptype="general"><strong>국내 기업, AI로 리눅스 커널 취약점 찾아 글로벌 공개</strong></p> <p contents-hash="0859b04136acac2ceceae83e2bff5e7e3dc0d7514395c4e3c21a4199aa069c4b" dmcf-pid="xiGqr0WIMe" dmcf-ptype="general">카피페일(CopyFail)은 CVE-2026-31431로 등록된 리눅스 커널 로컬 권한 상승 취약점이다. 권한 없는 사용자가 시스템 내부 파일 처리 과정의 허점을 이용해 관리자 권한을 얻을 수 있다. 우분투, 아마존 리눅스, RHEL, SUSE 등 주요 리눅스 배포판에 영향을 줄 수 있다는 점에서 파급력이 크다. 이 취약점은 단순한 실험 사례가 아니다. 클라우드, 서버, 컨테이너 환경에서 리눅스가 널리 쓰이는 만큼 실제 악용될 경우 기업 인프라 전반의 권한 탈취와 내부 확산으로 이어질 수 있다.</p> <p contents-hash="aea7f51a132d9e0b0fb3d6d0ad8963846a190af82af6c5993d2a00c74176247a" dmcf-pid="yZeDbNMViR" dmcf-ptype="general">카피페일은 리눅스 커널에 9년 동안 남아 있던 취약점을 국내 보안 기업 티오리가 AI 분석 체계로 찾아내 전 세계에 공개한 사례라는 점에서 특히 주목된다. 회사는 AI 기반 코드 분석 솔루션 '진트 코드(Xint Code)'로 취약점을 찾아냈다. 티오리는 연구자의 문제의식과 AI 분석 체계를 결합해 리눅스 커널의 깊은 영역을 분석했고, 그 결과 실제 공격 가능성이 있는 취약점을 찾아냈다고 밝혔다. AI가 무작정 코드를 훑은 것이 아니라, 화이트해커의 가설과 검증 절차가 결합해 미토스가 찾은 FreeBSD 취약점 못지않은 성과를 냈다고 할 수 있다.</p> <p contents-hash="1e7450240bf5f14f64c5dfcf02e2d89cd5115306a14888133ba9e6c2c68f600d" dmcf-pid="W5dwKjRfnM" dmcf-ptype="general">국내에서는 티오리 외에도 화이트해커 기반 보안 기업들이 AI 기반 취약점 분석 솔루션을 고도화하고 있다. 스틸리언은 최근 소스코드 없이 실행 파일이나 모바일 앱 파일만으로 취약점을 분석하는 AI 취약점 분석 솔루션 '에일리언레이(AlienRay)'를 선보였다. 엔키화이트햇도 과기정통부와 한국인터넷진흥원(KISA)의 '2026 AI 보안 유망기업 육성 지원사업' 사업화 분야에 선정돼, 다중 AI 에이전트 기반 취약점 검증 플랫폼 개발을 추진하고 있다.</p> <p contents-hash="97fb31e2953e7110e3ac66303dd4b11db58bdc9f7b3c7630adc402f8505a1903" dmcf-pid="Y1Jr9Ae4Rx" dmcf-ptype="general">공통점은 화이트해커 기반 연구 역량을 AI 분석 체계에 얹는다는 점이다. AI가 취약점 후보를 넓게 찾더라도, 실제 위험성을 판단하고 오탐을 걸러내며 패치 방향까지 검증하는 일은 여전히 보안 전문성에 달려 있다. 카피페일은 미토스 같은 해외 프런티어 모델만 오래된 취약점을 찾아낼 수 있는 것은 아니라는 점을 보여준다. AI를 어떤 문제에 적용하고 누가 검증하느냐에 따라 국내에서도 충분한 탐지 역량을 만들 수 있다는 의미다.</p> <p contents-hash="c2eb550bc59fa2a41dda4ed53008b33a21a2d3867931d93066214f96a5f23fc7" dmcf-pid="Gtim2cd8eQ" dmcf-ptype="general"><strong>오픈AI, 한국 정부와 TAC 협력 논의</strong></p> <p contents-hash="08801e1e2e7d574a16e125893a5b3d604ef82d3de88bca52ac9033b33e906c51" dmcf-pid="HFnsVkJ6iP" dmcf-ptype="general">해외 빅테크와의 협력 선택지도 넓어지고 있다. 과기정통부는 18일 외교부, 국가정보원, 금융위원회, 국가 인공지능전략위원회, 인공지능안전연구소, 한국인터넷진흥원, 금융보안원 등과 함께 오픈AI와 AI 보안 관련 실무 워크숍을 열었다. 오픈AI에서는 사샤 베이커 국가안보정책 총괄이 참석해 '신뢰 기반 사이버 접근(Trusted Access for Cyber·TAC)' 프로그램을 한국 정부 관계자에게 설명하고, 최신 AI 모델의 사이버 보안 기능을 시연했다.</p> <p contents-hash="c42610c2c7ccbab790aa3055c3da96237b2ae2d001115c52afd02d1fa5532669" dmcf-pid="X3LOfEiPd6" dmcf-ptype="general">과기정통부는 이 자리에서 오픈AI 측에 AI 보안 위협 대응을 위한 정보 공유와 협력을 요청했다. 양측은 AI 모델의 사이버 보안 활용 관련 실무 논의를 이어가기로 했다. 사샤 베이커 총괄은 "인공지능 시대에 사이버 위협에 효과적으로 대응하기 위해서는 긴밀한 민관협력이 필수적"이라며 "정부, 기업, 기반 시설 운영자, 연구기관, 그리고 인공지능 기업들이 공동의 책임 의식을 바탕으로 협력할 때, 인공지능을 안전하게 활용하고 사이버 복원력을 강화할 수 있다"고 말했다.</p> <p contents-hash="481133d63a6331586aa291b4598d20226a2f7578663ade46439a1abcd2d4664f" dmcf-pid="Z0oI4DnQd8" dmcf-ptype="general">이는 글래스윙과 데이브레이크의 차이를 보여준다. 글래스윙은 미공개 모델인 미토스 접근권을 제한된 파트너에게 주는 폐쇄형 협력 체계다. 반면 오픈AI는 TAC 설명과 모델 시연을 포함한 워크숍을 열고 한국 정부와 실무 논의를 시작했다. 고위험 사이버 기능을 누구에게나 여는 것은 아니지만, 우리 정부와 기업이 협력 접점을 찾을 여지가 더 커질 것으로 기대된다.</p> <p contents-hash="f22e52b07f5f198c761db21987a561628fb33c2870054fac5116969c3beb8cf3" dmcf-pid="5pgC8wLxL4" dmcf-ptype="general"><strong>MS MDASH, 단일 모델 아닌 운용 구조 가능성 제시</strong></p> <p contents-hash="824a58b21cd9c3ca59acfb53d130de561f3f07537c9212ccb276a0a4c84140da" dmcf-pid="1Uah6roMLf" dmcf-ptype="general">미토스 접근권 외 선택지는 오픈AI와의 협력에만 그치지 않는다. MS가 공개한 MDASH(Multi-moDel Agentic Scanning Harness)도 참고할 만한 사례다. MDASH는 단일 모델 하나에 취약점 탐지를 맡기지 않고, 여러 프런티어 모델과 경량 모델, 100개 이상 특화 에이전트를 조율해 취약점 후보를 찾고 검증하는 방식이다.</p> <p contents-hash="f206e97acf00f84dd14cbd56dbb60c3cee0aadcd882d63077ddbeb956d8bcdf1" dmcf-pid="tuNlPmgRLV" dmcf-ptype="general">이 구조는 국내에서도 참고할 만하다. 당장 미토스 접근권을 확보하지 못하더라도, 여러 AI 모델과 국내 보안 기업의 분석 도구, 화이트해커 검증 역량을 묶어 취약점 탐지 체계를 만들 수 있기 때문이다. 공공·금융권의 핵심 소프트웨어, 공급망 코드, 컨테이너 환경, 모바일 앱 등을 대상으로 AI가 취약점 후보를 찾고, 보안 전문가가 실제 위험성과 패치 가능성을 검증하는 구조를 설계하는 식이다.</p> <p contents-hash="73e0ccfd12426d55b70a777f559390164ea2a9be19a4458dbe049326d4b314ab" dmcf-pid="FqcTMIjJJ2" dmcf-ptype="general">결국 핵심은 특정 모델 하나를 확보하는 데 있지 않다. AI 기반 취약점 탐지를 실제 방어 업무에 빠르게 적용하고, 오탐을 줄이며, 발견된 취약점을 패치와 운영 개선으로 연결하는 체계가 중요하다. 미토스가 AI 취약점 탐지의 위력을 보여줬다면, 티오리의 카피페일과 MS의 MDASH는 모델 접근권과는 별개로 운용 설계에 따라 방어 역량을 키울 수 있음을 보여준다.</p> <p contents-hash="fe89297246cb5ced472c3e917d85bd2cb873f8788d238b68529eff8357b82d70" dmcf-pid="3BkyRCAii9" dmcf-ptype="general"><strong>미토스 접근권 외 협력 접점 넓어져…韓 기술 역량 결집도 필요</strong></p> <p contents-hash="cd6242c87fa5fbe7250b1a421500b62bcddb1449c2bb3417c579abfdcd263e57" dmcf-pid="0bEWehcneK" dmcf-ptype="general">한국 정부는 앞서 앤트로픽과도 간담회를 열고 국내 기업·기관과의 사이버 보안 협력, 취약점 공개 전 정보 공유를 요청했다. 글래스윙 참여나 미토스 접근권 확보가 확정된 단계는 아니지만, 협력 여지는 조금씩 넓어지는 분위기다. 앤트로픽은 최근 미토스 사용자가 보안상 유사한 취약점에 노출될 수 있는 외부 기업·기관과 사이버 위협 정보와 분석 결과를 공유할 수 있도록 운영 기준을 완화한다고 발표했다. 미토스 접근권 자체는 여전히 제한적이지만, 분석 정보 공유 범위는 일부 넓어진 셈이다.</p> <p contents-hash="b50c72644f81fde54ad818f46ad313305bc689a8dfad36d258433e902338db61" dmcf-pid="pKDYdlkLRb" dmcf-ptype="general">국내 사업 접점도 생길 전망이다. 지난해부터 한국 지사 설립을 타진한 앤트로픽은 이르면 다음달 한국 지사 출범을 앞두고 있는 것으로 알려졌다. 그렇게 되면 위협 정보 및 분석 결과에 대한 국내 기업·정부와 앤트로픽 사이 소통 창구도 지금보다는 개선될 것으로 기대된다.</p> <p contents-hash="a32a34eee6e00eadd3e14f36765df602e70a29c0dbcd98b2927416debc13c62a" dmcf-pid="U9wGJSEoLB" dmcf-ptype="general">하지만 이제 AI 보안 대응을 미토스 접근권에만 묶어둘 필요는 없게 됐다. 글래스윙 참여와 미토스 접근권 확보는 중요한 축이지만, 오픈AI와의 TAC 협력 논의, GPT-5.5 계열 사이버 보안 모델 활용, MS의 MDASH처럼 여러 모델과 에이전트를 조율하는 방식 등 선택지가 늘어났고 티오리·엔키화이트햇·스틸리언 같은 국내 보안 기업의 AI 분석 솔루션을 중심으로 역량을 결집하는 방식도 고려할 수 있기 때문이다.</p> <p contents-hash="3ecc31009e12c03864ff48a338cd8c307a4cc3653a90d27db26f9957c3f84e20" dmcf-pid="u2rHivDgMq" dmcf-ptype="general">따라서 국내 금융권과 공공기관이 실제 업무에 붙일 수 있는 탐지·검증 절차를 먼저 설계하고, 그 위에 국내외 AI 모델과 보안 기업 역량을 조합하는 방식이 현실적 방안으로 꼽힌다. 해외 모델 접근권 확보도 필요하지만, AI 기반 취약점 탐지를 방어 업무에 빠르게 적용해보고 국내 환경에 맞는 검증 기준을 만드는 작업이 병행돼야 한다는 게 국내 보안 업계의 목소리다.</p> <p contents-hash="714bcba56febf4b082a37ce27fd3c51ded7687580b406ce7e14ae47e5557b013" dmcf-pid="7VmXnTwaMz" dmcf-ptype="general">한 국내 보안 업계 관계자는 "미토스가 AI 보안 경쟁의 불씨를 당겼지만, 미토스만 오래된 취약점을 찾아낼 수 있는 것은 아니다"라며 "AI를 어떤 문제에 적용하고 누가 검증하느냐에 따라 국내에서도 충분한 탐지 역량을 만들 수 있다"고 말했다.</p> <p contents-hash="b36555b64b3275e6dcd06834954e12609a0faa76e0eb875b0c6309751378da66" dmcf-pid="zfsZLyrNi7" dmcf-ptype="general">이어 그는 "지금 필요한 것은 해외 모델 접근권 확보와 함께 AI 기반 취약점 탐지를 방어 업무에 빠르게 적용해보는 일"이라며 "공공·금융권의 핵심 소프트웨어, 공급망 코드, 컨테이너 환경, 모바일 앱 등을 대상으로 AI 분석 체계를 어디까지 적용할지 기준을 세워야 한다"고 덧붙였다.</p> <p contents-hash="d227fec0d8f794f401ab4a8d527d2bf8694aad8696e965a049a4a9d9c4efbf19" dmcf-pid="q4O5oWmjLu" dmcf-ptype="general">정종길 기자<br>jk2@chosunbiz.com</p> </section> </div> <p class="" data-translation="true">Copyright © IT조선. 무단전재 및 재배포 금지.</p> 관련자료 이전 고소영, 사과 4개 5만원도 쿨하게…“주차장까지 짐 들어줘” 05-22 다음 ‘글래스윙’ 외 선택지 넓어져… AI 탐지·검증 역량 결집해야 [미토스 그 후④] 05-22 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
