Anthropic의 클로드 미토스, 한 달 만에 MS 취약점 231개 발견…MS는 패치 속도 따라잡지 못해

더 넓게 보면, Project Glasswing 전반에 걸쳐 Mythos는 프로그램 출시 이후 세계에서 가장 체계적으로 중요한 소프트웨어에서 1만 개 이상의 높은 심각도 또는 치명적 심각도 취약점을 식별했습니다 . Anthropic 자체의 조정된 취약점 공개 대시보드는 2026년 5월 22일 기준 281개 오픈소스 프로젝트에서 1,596개의 공개된 취약점을 보고했으며, 약 23,019개의 발견 사항이 분류되고 1,900개의 후보가 우선순위화되었습니다 .

Microsoft 내부의 분류 위기

발견과 수정 사이의 격차는 실존적 분류 위기로 묘사됩니다. AI가 인간 패치 팀이 분석, 재현 및 수정할 수 있는 속도보다 빠르게 결함을 찾아내기 때문입니다 . Microsoft 내부 프레젠테이션에서는 회사가 Mythos 주도 발견 속도를 따라잡을 수 없다고 인정한 것으로 알려졌습니다 . 한 Microsoft 프레젠테이션의 내부 슬라이드에는 회사가 궁극적으로 중간 심각도 결함을 해결할 계획이지만, 즉각적인 초점은 치명적 및 중요 취약점에만 맞춰져 있다고 명시되어 있습니다 .

2026년 7월 사상 최대 규모 패치 화요일

2026년 7월 14일, Microsoft는 사상 최대 규모의 패치 화요일을 단행하여 622개의 취약점을 해결했습니다. 이는 2026년 6월 건수의 3배, 월 평균의 약 5배에 달하는 수치입니다 . 소스에 따라 569–622개의 CVE로 집계되기도 합니다 . 이번 릴리스에는 다음이 포함되었습니다:

• 59개의 치명적 등급 결함
• 세 가지 제로데이, 그중 두 가지 — Active Directory Federation Services의 CVE-2026-56155와 SharePoint Server의 CVE-2026-56164 — 는 패치가 존재하기 전에 이미 활발히 악용되고 있었습니다
• 416개의 Windows 결함 및 Office, SharePoint, Azure, Hyper-V, Visual Studio 전반의 수정 사항

CrowdStrike는 이번 릴리스가 "AI 기반 취약점 발견이 증가함에 따라 '작은' 패치 화요일의 시대가 끝났을 수 있음을 보여준다"고 언급했습니다 . 불과 한 달 전인 2026년 6월은 이미 206개의 CVE로 이전 기록을 경신한 바 있습니다 .

히타치, 중요 인프라를 위한 Project Glasswing 합류

히타치는 2026년 6월 Project Glasswing에 합류하여 자사의 사회기반시설 소프트웨어, 특히 에너지 분야의 감사를 위해 Claude Mythos Preview에 접근할 수 있게 되었습니다 . 2026년 7월 28일, 히타치는 Mythos가 보안 검증 프로세스를 수 주에서 극적으로 단축된 시간으로 줄였으며, 수백만 줄의 소스 코드에 대한 위협 모델을 성공적으로 생성하고 중요 인프라에 대한 모델의 실용적 적용 가능성을 확인했다고 보고했습니다 .

파이브 아이즈 정보 경고: '시간표는 년 단위가 아니라 개월 단위'

2026년 6월 22일, 파이브 아이즈 정보동맹(미국, 영국, 캐나다, 호주, 뉴질랜드)은 최첨단 AI 모델이 수개월 내에 공격적 해킹 능력을 극적으로 강화할 준비가 되었다는 이례적인 공동 성명을 발표했습니다 . 동맹은 "프런티어 AI 모델은 현재 업계 기대치를 초과하여 공격 및 방어 사이버 역량을 근본적으로 변화시킬 것으로 예상됩니다. 시간표는 년 단위가 아니라 개월 단위입니다"라고 밝혔습니다 . 이 경고는 트럼프 행정부가 Anthropic에 Mythos 및 Fable 모델에 대한 외국인의 접근을 제한하도록 명령한 지 몇 주 후에 나왔습니다 . 파이브 아이즈 성명이 특정 회사를 언급하지는 않았지만, 로이터 및 다른 매체는 이 경고의 긴급성을 직접적으로 Anthropic의 Mythos 모델에 대한 우려와 연결했습니다 .

광범위한 영향: 패치 속도 불일치

Mythos의 발견 속도는 AI 기반 취약점 발견과 인간 주도 수정 사이의 근본적인 불일치를 드러냈습니다. 보안 전문가들은 다음과 같은 우려를 제기합니다:

• 패치 속도 불일치: AI는 기계 속도로 결함을 발견하지만, 인간의 분류 및 패치 개발은 여전히 수동 프로세스에 의해 제약을 받습니다 .
• 백로그 위험: 수천 개의 고심각도 결함이 쌓이면서 불가능한 우선순위 결정을 강요하여 많은 시스템이 노출된 상태로 남게 됩니다 .
• 인프라 취약성: 히타치의 작업은 AI 기반 발견이 이제 산업 제어 시스템과 에너지 인프라를 대상으로 하고 있으며, 가동 시간 요구 사항과 규제 제약으로 인해 패치가 더욱 느리다는 것을 보여줍니다 .
• 공격적 비대칭성: Project Glasswing에서 방어적으로 사용되는 것과 동일한 AI 능력이 적대자에 의해 무기화되어 사이버 작전에서 전례 없는 비대칭성을 창출할 수 있습니다 .

한 보안 분석가가 언급했듯이: "전에는 버그를 찾는 것에 대해 걱정했습니다. 이제는 고칠 수 있는 속도보다 더 빨리 찾는 것에 대해 걱정합니다. 병목 현상이 발견에서 수정으로 이동했습니다. 그리고 아직 그것을 위한 AI는 없습니다."

조직이 지금 해야 할 일

파이브 아이즈 권고는 기업을 위한 다섯 가지 실질적 조치를 나열했습니다: 공격 표면 감소, 더 빠른 패치, 침해 가정, 탐지 및 대응에 대한 투자, 아이덴티티 인프라 강화 . 대부분의 기업 보안 팀에게 이는 인간 속도의 발견 세계를 위해 설계된 취약점 관리 프로그램을 재고해야 함을 의미합니다. 자동화된 패치, AI 지원 분류 및 위험 기반 우선순위 지정은 더 이상 선택 사항이 아니라 생존 전략입니다.

Anthropic의 Claude Mythos는 AI가 전례 없는 규모와 속도로 취약점을 찾을 수 있음을 입증했습니다. 이제 질문은 글로벌 사이버보안 생태계가 이를 패치할 수 있을 만큼 빠르게 진화할 수 있느냐는 것입니다.