기업도 정부도 부랴부랴 총력대응···'미토스'가 뭐길래

제로데이 취약점 대량 탐지, 보안 한계 넘은 신형 AI 위협

아마존·애플·구글, 프로젝트 글래스윙으로 선제 검증 돌입

미국 인공지능(AI) 기업 앤트로픽이 개발한 신형 AI 모델 '클로드 미토스(Mithos)'가 공개되면서 각국 정부와 기업들 사이에서 긴장감이 확산되고 있다. 단순한 취약점 탐지를 넘어 실제 공격 코드 생성까지 가능한 것으로 알려지면서다.

미국 인공지능(AI) 기업 앤트로픽의 신형 AI 모델 '클로드 미토스(Mithos)'를 검증하는 '프로젝트 글래스윙(Project Glasswing)'. 출처=앤트로픽 홈페이지 갈무리

관련 업계에 따르면 엔트로픽이 최근 공개한 미토스는 보안 취약점 및 익스플로잇(취약점 공격 도구)을 찾아내는 것에 특화한 모델이다. 보안 취약점을 식별하는 데 그치지 않고, 이를 실제 해킹 공격에 활용할 수 있는 코드까지 생성할 수 있는 것이 특징이다. 그동안 보안 도구들이 취약점 탐지에 초점을 맞췄다면, 미토스는 한 단계 더 나아가 공격 실행 가능성까지 제시한다는 점에서 위협 수준이 다르다는 평가다.

특히 공격에 그대로 활용될 수 있는 보안 결함을 대량으로 찾아낼 수 있어, 악용될 경우 피해 규모가 급격히 확대될 수 있다는 우려가 나온다. 이 같은 성능은 실제 사례에서도 입증됐다. 앤트로픽은 '미토스 프리뷰(시험용)'모델을 이용해 몇 주 만에 웹 브라우저 등에서 수 천개의 '제로 데이'(이전에 알려지지 않은 결함)를 발견했다. 특히 보안성이 높은 것으로 평가받는 OpenBSD에서 27년간 발견되지 않았던 버그를 찾아내기도 했다. 기존 보안 검증 체계로는 포착하기 어려웠던 취약점까지 AI가 탐지할 수 있음을 보여준 것이다.

현재 앤트로픽은 미토스를 일반에 즉시 공개하지 않고, 주요 기술 기업과 금융사를 대상으로 제한적인 프리뷰 형태로 선제 제공하고 있다. 아마존, 애플, 구글 등 글로벌 정보기술(IT) 기업이 미토스를 먼저 사용하는 '프로젝트 글래스윙(Project Glasswing)' 이니셔티브를 출범해 모델을 검증하고 있다. 무분별한 확산에 따른 악용 가능성을 고려한 조치로 풀이된다.

각국 정부도 빠르게 대응에 나섰다. 미국을 비롯한 주요 국가의 정부와 금융당국은 긴급 회의를 열고, 미토스와 같은 고도화된 AI 모델이 가져올 보안 위협에 대한 대응 전략 마련에 착수했다. 국내에서도 대응 움직임이 이어지고 있다. 국가AI전략위원회는 16일 보안특별위원회 회의를 열고 미토스 동향을 긴급 점검하고, 유관 부처와 함께 구체적인 대응 방안을 검토하기로 했다. 과학기술정보통신부는 지난 14일 네이버, 카카오 등 주요 플랫폼사와 SK텔레콤, KT, LG유플러스 등 통신사 정보보호 최고책임자들과 긴급 현안 점검 회의를 개최하기도 했다.

향후에는 AI 기반 공격을 전제로 한 선제적인 방어 체계 구축이 필요하다는 인식이 확산되는 분위기다. 사이버보안 기업 티오리의 박세준 대표는 페이스북 게시글을 통해 "(미토스)기술을 선제적이고 적극적으로 활용해 아포칼립스가 발현되기 전 생태계를 지킬 것인지, 당장 쓰지도 못하는 미토스가 어떤 영향을 끼칠지 전전긍긍하며 토론만 하다가 골든타임을 놓칠 것인지는 선택과 결단의 문제"라고 말했다.