AI가 취약점을 캐낸다, 글래스윙 확장의 양날
앤트로픽이 보안 특화 모델을 무기 삼아 방어 진영을 빠르게 넓히고 있다. 2026년 6월 2일, 회사는 'Project Glasswing'을 기존 약 50개 파트너에서 15개국 이상 150여 개 기관으로 확장한다고 밝혔다. 전력·수도·의료·통신·하드웨어 등 핵심 인프라 운영사들이 Claude Mythos 프리뷰로 자사 코드베이스의 취약점을 스캔한다. AI가 공격 도구가 될 수 있다는 공포의 뒷면에서, 같은 능력을 방어에 먼저 배치하려는 시도다.
"A major attack could affect more than 100 million people, with important ramifications for both global and national security."Anthropic
무슨 일인가
글래스윙의 성과는 구체적이다. 초기 파트너들은 4월 이후 Claude Mythos 프리뷰로 1만 건 넘는 고·치명도 보안 결함을 찾아냈다. 앤트로픽은 이번 확장의 목표를 두 가지로 든다. 첫째, 산업계가 안전한 방식으로 첨단 모델에 접근하도록 돕는 것. 둘째, 초점을 "취약점 탐지"에서 "공개·패치·수정본 배포"로 옮기는 것이다. 즉 결함을 찾는 일은 더 이상 병목이 아니며, 진짜 과제는 찾은 것을 얼마나 빨리 고치느냐로 이동했다는 선언이다.
여러 시각
같은 "AI×보안" 흐름을 두 자료가 다른 각도에서 본다.
- Anthropic(정부 수출통제 지시) — 통제의 역설. 같은 6월, 미국 정부는 Fable 5·Mythos 5에 대한 모든 접근을 외국인 포함 전면 중단하라는 수출통제 지시를 내렸다(6월 12일 수령). 방어에 강력한 모델일수록 곧 통제 대상이 되는 긴장이다. 앤트로픽은 "좁은 잠재적 탈옥(jailbreak)을 이유로 수억 명에게 배포된 상용 모델을 회수해야 한다는 데 동의하지 않는다"며 따르되 반대한다는 입장을 냈다.
- VentureBeat(패치가 너무 느리다) — 운영의 관점. Mythos가 드러낸 불편한 진실은 탐지 속도가 아니라 기업의 패치 프로세스가 기계의 속도를 못 따라간다는 것이다. AI가 결함을 쏟아낼수록, 사람이 검토·배포하는 단계가 새로운 병목으로 떠오른다고 짚는다.
왜 중요한가
세 자료를 겹치면 2026년 AI 보안의 구도가 보인다. 첫째, AI는 이미 방어에서 압도적 생산성을 낸다(1만 건 이상 탐지). 둘째, 그러나 그 능력은 곧 국가 통제의 대상이 된다(수출통제). 셋째, 조직의 진짜 약점은 모델이 아니라 그 뒤의 느린 사람·프로세스다. 공격이 자동화로 빨라지는데 탐지를 자동화하고도 패치가 수일~수주 걸린다면, 격차는 줄기는커녕 오히려 벌어진다.
실무 적용
- 보안에 AI를 도입할 때 "결함을 얼마나 찾느냐"보다 "찾은 결함을 며칠 만에 패치·배포하느냐"(MTTR)를 핵심 지표로 삼는다.
- 강력한 모델은 언제든 규제·수출통제로 접근이 끊길 수 있으므로, 단일 모델에 종속되지 않는 대체 경로와 폴백을 보안 파이프라인에 설계한다.
- AI가 쏟아내는 취약점 리포트를 사람이 다 검토할 수 없으므로, 심각도 자동 분류·우선순위화·수정안 자동 생성까지 파이프라인을 확장해 사람 병목을 줄인다.
Kenny의 관점
PM·사업기획과 프론트엔드를 오가는 입장에서 이 흐름의 핵심은 "AI의 가치는 탐지가 아니라 마감에 있다"는 것이다. 결함을 1만 건 찾아도 고치지 못하면 위험은 그대로다. 나는 AI를 워크플로에 넣을 때 자동화가 만드는 새 산출물(리포트·후보 코드)을 사람이 감당할 수 있는지부터 본다. 병목을 한 단계 뒤로 미루는 자동화는 진짜 자동화가 아니다. 통제 리스크가 상수가 된 지금, 단일 모델에 운명을 거는 설계도 피한다.
출처
이 글은 아래 원문을 바탕으로 Kenny가 한국어로 요약·정리한 큐레이션입니다.
원문 보기 — Anthropic ↗