고위험 보안 취약점 공개, Claude Mythos 프리뷰 출시 시점에 급증했다는 분석이 나왔어요

AI 모델 출시와 취약점 급증, 우연일까요 신호일까요

AI 발전 추세를 데이터로 추적하는 연구 기관 Epoch AI가 흥미로운 분석을 내놨어요. 심각도가 높은 보안 취약점(CVE)의 공개 건수가 Anthropic의 새 모델 Claude Mythos 프리뷰가 출시된 시점을 전후로 눈에 띄게 급증했다는 관찰인데요. "AI가 보안 생태계를 실제로 바꾸고 있는가"라는 질문을 추측이 아니라 데이터로 들여다보려는 시도라서 한번 짚어볼 만해요.

먼저 용어부터 정리할게요. CVE가 뭐냐면, 공개적으로 알려진 보안 취약점 하나하나에 부여되는 고유 번호 체계예요. 'CVE-2026-XXXXX' 같은 형식으로요. 각 취약점에는 CVSS라는 점수가 매겨지는데, 이 점수가 높을수록 원격 코드 실행처럼 파급력이 큰 '심각(critical)' 등급이 돼요. 이번 분석이 주목한 건 바로 이 고위험 등급 취약점의 공개량 변화예요.

Claude Mythos가 뭐길래요

Claude Mythos는 Anthropic이 Claude 5 세대에서 도입한 최상위 모델 라인이에요. 일반에 공개되는 Fable 5와 같은 기반 모델을 쓰지만, Mythos는 사전 승인을 받은 조직에만 제공되고 보안 연구처럼 '양날의 검'이 될 수 있는 능력에 대한 제한이 다르게 설정된 버전이거든요. 취약점 분석 같은 작업은 방어자가 쓰면 보안을 강화하지만 공격자가 쓰면 무기가 되는 대표적인 듀얼유즈(dual-use) 영역이라, 모델사가 접근 자체를 계층화한 거죠. 그래서 이런 모델의 출시 시점과 취약점 공개량의 상관관계는 자연스럽게 관심 대상이 돼요.

데이터를 어떻게 읽어야 할까요

여기서 중요한 건 상관관계가 곧 인과관계는 아니라는 점이에요. 급증을 설명할 수 있는 가설은 크게 세 갈래인데요.

첫째, 가장 긍정적인 해석은 '방어자 가속' 가설이에요. 보안 연구자와 기업들이 더 강력한 AI로 코드 감사를 돌리면서, 원래 숨어 있던 취약점이 더 빨리, 더 많이 발견되어 신고량 자체가 늘었다는 거죠. 발견이 늘어난 건 나쁜 게 아니라 그동안 못 보던 걸 보게 됐다는 뜻일 수 있어요.

둘째, 통계적 우연 가능성이에요. CVE 공개량은 원래 들쭉날쭉하거든요. 미국 NVD(취약점 데이터베이스)의 처리 백로그가 한꺼번에 풀리거나, 대형 벤더가 분기 패치에서 수백 건을 일괄 공개하면 특정 주간에 스파이크가 생겨요. 시점이 겹쳤다고 원인이라 단정할 수는 없죠.

셋째, 우려스러운 해석은 강력한 모델이 취약점 발굴 능력 자체를 끌어올렸고 그 효과가 즉시 나타났다는 가설인데요. 이 경우에도 발굴된 취약점이 '공개'됐다는 건 책임 있는 신고 절차를 거쳤다는 뜻이라, 데이터만으로 악용 증가를 말하기는 어려워요.

업계 흐름에서 보면요

사실 'AI가 진짜 취약점을 찾는다'는 건 이미 증명된 사실이에요. 구글 프로젝트 제로의 Big Sleep은 LLM 기반 에이전트로 SQLite에서 실제 익스플로잇 가능한 버그를 찾아냈고, OSS-Fuzz에 LLM을 접목해 퍼징 커버리지를 늘린 사례도 있고요. DARPA의 AI 사이버 챌린지(AIxCC)는 아예 AI가 자동으로 취약점을 찾고 패치까지 하는 대회였어요. 반대편에는 그림자도 있는데, curl 프로젝트 메인테이너가 AI가 만들어낸 허위 취약점 신고, 이른바 'AI 슬롭' 리포트에 시달린다고 공개적으로 토로한 일도 있었죠. 발견의 양이 늘어나는 것과 발견의 질이 좋아지는 건 별개 문제라는 거예요.

한국 개발자에게 주는 시사점

이 흐름이 우리에게 의미하는 건 명확해요. 취약점이 발견되는 속도가 빨라지면, 패치를 적용하는 속도도 그만큼 빨라져야 한다는 거예요. 공개된 취약점은 방어자에게는 할 일 목록이지만 공격자에게는 지도가 되거든요. Dependabot이나 Renovate로 의존성 업데이트를 자동화하고, Trivy나 Grype 같은 스캐너를 CI에 붙여두고, 우리 서비스가 어떤 라이브러리를 쓰는지 SBOM(소프트웨어 자재 명세서)으로 파악해 두는 것. 이게 AI 시대 보안의 기본기가 되고 있어요.

한줄 정리: AI 모델 출시와 고위험 취약점 급증의 상관관계가 데이터로 관찰됐고, 인과가 무엇이든 '발견-패치 사이클'은 확실히 빨라지고 있어요. 여러분 팀은 의존성 취약점 알림이 오면 평균 며칠 안에 패치하고 계신가요?