앤트로픽, EU 사이버보안청(ENISA)에 '제로데이 사냥꾼' AI 미토스 접근 허용

5월 내내 상황은 더욱 격화되었다. 유럽연합 집행위원회(European Commission) 관리들은 직접 샌프란시스코로 날아가 앤트로픽 경영진에게 접근 권한을 요청했다 . 스페인 경제부 장관은 진전이 "제한적"이라고 공개적으로 밝혔고, 유럽 금융기관들의 접근을 위한 협상은 사실상 교착 상태에 빠졌다 . 5월 말 한 언론은 EU의 접근성 부족을 "사이버 보안 역량의 기술적·제도적 격차"라고 표현하며, 영란은행과 미 연방준비제도(Fed), 미국 재무부는 모두 브리핑을 받았지만 어떤 EU 기관도 운영 접근 권한을 얻지 못했다고 꼬집었다 .

이번 6월 1일 ENISA 포함 결정은 바로 이 대중적 압박과 공세적 협상 캠페인의 직접적인 결과물이다.

인간을 초월한 속도와 규모: 미토스의 실체

이 접근 권한의 진정한 의미를 이해하려면, 미토스가 정확히 무엇을 할 수 있는지 먼저 알아야 한다. 클로드 미토스 프리뷰는 단순한 챗봇이 아니다. 일단 프롬프트를 입력받으면 소스 코드를 읽고, 가설을 세우고, 테스트를 실행하며, 인간의 개입 없이 자율적으로 작동하는 익스플로잇(공격 코드)을 작성할 수 있는 AI 모델이다 .

초기 평가에서, 이 모델은 윈도우, 맥OS, 리눅스를 포함한 모든 주요 운영체제와 모든 주요 웹 브라우저에서 수천 개의 고위험 제로데이(Zero-day) 취약점을 발견했다 .

발견된 취약점의 세부 내용은 그야말로 충격적이다:

• 27년 된 버그 발견: '가장 안전한 OS'로 평가받는 OpenBSD의 TCP SACK 구현에서 27년간 인간 전문가의 리뷰를 피해 숨어 있던 취약점을 찾아냈다 .
• 16년 된 FFmpeg 결함 발굴: 16년 동안 아무도 몰랐던 FFmpeg의 결함을 자율적으로 찾아냈다 .
• 샌드박스 탈출: 브라우저의 OS 샌드박스를 탈출하기 위해 **4개의 취약점을 스스로 연계(Chaining)**하는 고난도 공격을 성공시켰다 .
• 압도적 익스플로잇 생성 능력: 파이어폭스 147 버전을 대상으로 181개의 작동하는 셸 익스플로잇을 구축했다. 이전 최고 성능의 모델은 겨우 2개에 불과했다 .

2026년 5월 23일까지, 이러한 노력은 엄청난 규모로 확장되었다. 프로젝트 글래스윙 파트너들은 시스템적으로 중요한 소프트웨어에서 1만 건 이상의 높음 또는 치명적(critical) 심각도의 취약점을 발견했다고 보고했다. 클라우드플레어(Cloudflare) 단독으로도 거의 2,000건에 달하는 버그를 찾았으며, 오탐지율은 인간 테스터보다도 낮았다 .

방어를 위한 방패: 프로젝트 글래스윙의 엄격한 틀

이 모델의 강력한 공격적 잠재력에도 불구하고, 이에 대한 접근은 엄격한 조건에 의해 통제된다. 모든 프로젝트 글래스윙 파트너는 미토스 프리뷰를 오직 방어적 보안 작업에만 사용해야 한다. 즉, 핵심 소프트웨어의 취약점을 식별, 패치, 보고하는 용도로만 사용해야 하며, 공격적 사이버 작전은 명시적으로 금지된다 . 앤트로픽은 이 이니셔티브를 위해 최대 1억 달러(한화 약 1조 3천억 원)의 사용 크레딧과 오픈소스 보안 단체에 대한 4백만 달러(한화 약 52억 원)의 직접 기부를 약속했다 .

ENISA의 합류는 이제 유럽이 이 강력한 방어 역량을 자체 중요 인프라에 적용할 수 있게 되었음을 의미한다. 유럽의 기관들은 적대 세력이 유사한 AI 능력을 획득하거나 복제할 경우 직면하게 될 실질적인 위험에 노출되어 있다 . 유럽중앙은행(ECB)은 이미 유로존 은행들에게 미토스 급의 도구가 촉발할 수 있는 AI 기반 사이버 위협이 최우선 과제라고 경고한 바 있다 . ENISA의 접근은 이제 유럽이 현존하는 가장 진보된 AI 취약점 스캐너를 통해 위협 환경에 대한 직접적인 가시성을 확보하고, 유럽의 방어 체계를 직접 시험할 수 있는 발판을 마련해 준다.

과제로 남은 숙제들

ENISA의 합류는 유럽의 사이버 보안 주권을 향한 중대한 진전임에 틀림없지만, 그 범위는 제한적이다. ENISA가 협상 테이블에 앉게 되었지만, 더 넓은 범위의 유럽 금융 기관들과 개별 회원국들에 대한 접근은 여전히 미해결 과제로 남아 있다. 2026년 5월 말 기준, 유럽 은행들의 테스트 방안에 관한 논의는 계속 답보 상태에 머물러 있었다 . ENISA의 프로젝트 글래스윙 가입은 외교적 격차를 해소했지만, 아직 이 모델의 방어적 우산을 유럽 대륙 전체로 확장한 것은 아니다.