AI가 촉발한 사이버 보안 군비 경쟁: 은행·규제 당국·Claude Mythos·OpenAI Daybreak

인공지능(AI)은 사이버 보안의 균형을 빠르게 바꾸고 있다. 과거에는 보안 연구자들이 수개월 또는 수년 동안 찾아내던 소프트웨어 취약점을 이제는 AI가 훨씬 빠르게 발견할 수 있기 때문이다. 이 변화는 특히 은행과 금융 인프라에 큰 의미를 가진다. 금융 시스템은 결제, 대출, 거래 등 핵심 경제 활동을 지탱하는 디지털 인프라에 의존하기 때문이다.

최근 논의의 중심에는 두 가지 기술이 있다. 하나는 Anthropic의 Claude Mythos로 알려진 취약점 탐지 능력이 강력한 AI 모델이고, 다른 하나는 이를 방어하기 위해 등장한 OpenAI의 Daybreak라는 사이버 보안 플랫폼이다. 이 두 사례는 현재 사이버 보안이 AI 기반 군비 경쟁 단계에 들어가고 있음을 보여준다.

왜 금융 규제 당국이 AI 사이버 위협을 우려하나

전 세계 금융 규제 당국은 AI 기반 사이버 공격 도구를 단순한 IT 위험이 아니라 금융 안정성에 영향을 줄 수 있는 시스템 리스크로 보고 있다.

미국에서는 재무부 장관 스콧 베센트(Scott Bessent)와 연방준비제도 의장 제롬 파월(Jerome Powell)이 주요 은행 CEO들과 긴급 회의를 열어 Anthropic의 Claude Mythos가 가져올 사이버 보안 위험을 논의한 것으로 알려졌다 .

국제기구들도 경고에 나섰다. 국제통화기금(IMF)은 AI가 기존 보안 방어 체계를 대규모로 우회할 수 있게 된다면 글로벌 금융 시스템 안정성에 영향을 줄 수 있다고 지적했다 .

호주의 금융 규제 기관인 APRA(호주 건전성 규제청) 역시 비슷한 우려를 제기했다. APRA는 Claude Mythos와 유사한 수준의 AI 모델이 공격자에게 은행이 아직 대비하지 못한 능력을 제공할 수 있다고 경고했다 . 동시에 은행들이 이런 모델을 방어 목적의 테스트에 활용할 수 있도록 제한적 접근이 필요할 수도 있다고 밝혔다.

이러한 논의 속에서 규제 당국이 금융기관에 요구하는 주요 대응 방향은 다음과 같다.

• AI 기반 침투 테스트와 레드팀 훈련 확대
• 취약점 발견 후 패치까지의 시간 단축
• 외부 소프트웨어와 공급망에 대한 보안 감독 강화
• 사이버 사고 보고 및 거버넌스 강화

핵심 메시지는 단순하다. 사이버 공격 속도가 인간이 아닌 ‘기계 속도’로 빨라질 수 있기 때문에 방어도 같은 속도로 진화해야 한다는 것이다 .

Anthropic ‘Claude Mythos’가 주목받는 이유

Anthropic이 공개한 Claude Mythos Preview는 사이버 보안 분석 능력에 초점을 맞춘 AI 모델로 알려져 있다. 보도에 따르면 이 모델은 주요 운영체제와 웹 브라우저에서 숨겨진 취약점을 찾아내는 능력을 보여주었다 .

Anthropic은 이 모델이 **“수천 개의 심각한 취약점(high‑severity vulnerabilities)”**을 발견했다고 설명했다 . 일부 보고에서는 수십 년 동안 발견되지 않았던 OpenBSD 취약점도 찾아냈다고 전해진다 .

문제는 속도와 자동화다. 기존 공격 과정은 여러 단계의 인간 작업을 필요로 했다. 하지만 AI는 이 과정을 자동화할 가능성이 있다.

예를 들어 AI는 다음 작업을 연속적으로 수행할 수 있다.

• 대규모 코드베이스 자동 스캔
• 취약점 식별
• 공격용 익스플로잇 코드 생성
• 여러 취약점을 연결한 공격 체인 구축

특히 많은 은행이 수십 년 된 레거시 시스템과 복잡한 IT 구조를 유지하고 있다는 점이 문제로 지적된다. 이런 환경은 AI 기반 도구가 취약점을 빠르게 찾아낼 수 있는 조건을 만들 수 있다 .

다만 Claude Mythos의 구체적인 능력에 대한 일부 내용은 언론 보도와 2차 자료에 기반한 것이기 때문에 모든 기술적 세부 사항이 독립적으로 검증된 것은 아니라는 점도 함께 언급된다 .

방어 측의 대응: OpenAI ‘Daybreak’

공격 가능성이 커지는 상황에서 기술 기업들은 방어용 AI 도구 개발에도 속도를 내고 있다. 그 대표적인 사례가 OpenAI가 발표한 Daybreak다.

Daybreak는 조직이 공격자보다 먼저 소프트웨어 취약점을 발견하고 수정하도록 돕는 사이버 보안 이니셔티브다 . 이 시스템은 OpenAI의 AI 모델과 Codex Security라는 에이전트 기반 분석 시스템을 결합해 보안 팀이 코드 분석과 취약점 대응을 자동화하도록 지원한다 .

플랫폼이 지원하는 주요 기능은 다음과 같다.

• 코드베이스 자동 취약점 탐지
• 위협 모델링 및 위험 분석
• 패치 생성 및 검증
• 의존성 및 소프트웨어 공급망 보안 점검

OpenAI는 또한 보안 연구자와 조직을 위해 GPT‑5.5‑Cyber 등 사이버 보안 특화 모델을 포함한 여러 접근 단계의 시스템을 도입했다 .

핵심 목표는 단순한 탐지가 아니라 취약점 발견부터 패치 배포까지 걸리는 시간을 줄이는 것이다. AI가 공격 속도를 높일수록 이 대응 속도가 중요한 경쟁력이 되기 때문이다 .

AI 기반 사이버 보안 군비 경쟁의 시작

Claude Mythos와 Daybreak의 등장으로 분명해진 사실이 있다. AI는 공격과 방어 양쪽을 동시에 강화하고 있다는 점이다.

• 공격 측: AI가 대규모 취약점 탐색과 익스플로잇 생성 속도를 높일 수 있다.
• 방어 측: AI가 코드 분석, 공격 시뮬레이션, 패치 생성 과정을 자동화할 수 있다.

결국 사이버 보안의 미래는 누가 더 빠르게 자동화하느냐에 달려 있을 가능성이 높다.

은행과 기업이 준비해야 할 변화

규제 당국의 메시지는 기술 자체보다 거버넌스와 준비 상태가 중요하다는 것이다. 금융 기관은 AI를 활용하면서도 그 위험을 통제할 수 있음을 보여야 한다.

현재 정책 논의에서 강조되는 우선 과제는 다음과 같다.

• AI 보안 리스크 관리 체계 구축
• 강력한 사이버 모델 접근 통제
• 안전한 소프트웨어 개발 프로세스
• AI 기반 공격 시나리오에 대한 복원력 테스트
• 규제 당국·은행·보안 기업 간 협력 강화

앞으로 조직은 단발성 공격이 아니라 AI가 지속적으로 시스템을 탐색하는 환경을 가정하고 보안을 설계해야 할 가능성이 크다.

핵심 정리

취약점을 자동으로 찾아낼 수 있는 AI 모델의 등장으로 사이버 보안 환경은 빠르게 변하고 있다. Claude Mythos는 공격 측의 잠재적 능력을 보여주는 사례로 평가되고 있으며, OpenAI의 Daybreak는 이에 대응하는 방어 기술로 제시되고 있다.

결국 승패를 가르는 요소는 단순히 AI를 보유했느냐가 아니라 얼마나 빠르게 보안 대응을 자동화하고 책임 있게 운영하느냐가 될 가능성이 높다.