단일 취약점 수정에서 벗어나 여러 버그를 연결한 실제 공격 경로까지 분석하는 방식이 이제 표준이 되고 있다.
트럼프가 금지한 AI가 정부 보안을 지키고 있다고?
2026년 2월, 트럼프 대통령은 모든 연방 기관에 앤트로픽 제품 사용 금지 지침을 내렸습니다. 국방부는 앤트로픽을 '공급망 위험 기업'으로 지정하기까지 했습니다. 그런데 불과 몇 달 뒤인 7월 6일, CISA(미국 사이버보안 및 인프라 보안국)는 앤트로픽의 최신 모델 클로드 미소스를 연방정부 코드 취약점 점검에 투입했다고 공식 발표했습니다. 금지령을 뒤집을 만큼 미소스의 능력이 압도적이었다는 뜻인데, 그 능력이 정확히 어떤 것인지가 핵심입니다.
수 시간 만에 취약점 수천 건, 어떤 방식으로 찾나
미소스가 취약점을 찾는 방식은 단순한 코드 스캔과 다릅니다. 연방정부 코드 저장소 전체를 읽고, 개별 버그를 나열하는 데 그치지 않고 취약점들을 연결해 실제 공격 경로를 구성해냅니다. 예를 들어 웹 브라우저 취약점 A와 운영체제 권한 설정 허점 B를 조합하면 어떤 침투 시나리오가 가능한지까지 분석합니다. 이 과정을 수 시간 안에 처리하며, 운영체제·웹 브라우저 등 주요 소프트웨어에서 수천 건의 중대 취약점을 발견했습니다. 발견 후에는 수정 방법도 함께 제시하기 때문에 보안팀이 즉시 대응할 수 있습니다.
프로젝트 글래스윙, NSA가 4월부터 먼저 시험했다
CISA 투입 이전에 이미 미국 정보기관들은 '프로젝트 글래스윙'이라는 이름으로 미소스를 시험하고 있었습니다. NSA는 2026년 4월부터 미소스 초기 모델을 보안 점검에 활용했고, 프로젝트 글래스윙의 목표는 두 가지였습니다. 첫째, 고성능 AI 자체가 주요 소프트웨어에 미칠 수 있는 위험을 먼저 파악하는 것. 둘째, 외국 정보기관이나 사이버 범죄 조직이 악용하기 전에 심각한 취약점을 찾아 수정하는 것입니다. 즉 미소스는 공격 도구로 쓰이기 전에 방어 도구로 먼저 배치된 셈입니다. 이 프레임이 정치적 금지령을 우회하는 논리가 됐습니다.
SWE 벤치 93.9%, USAMO 97.6%, 숫자가 말하는 것
미소스의 공식 벤치마크 수치를 보면 왜 정부가 금지령을 뒤집었는지 이해됩니다. 소프트웨어 엔지니어링 능력을 측정하는 SWE-벤치 베리파이드에서 93.9%를 기록했고, 2026년 미국 수학 올림피아드(USAMO)에서는 97.6%를 달성했습니다. 코드를 읽고 논리적 오류를 추론하는 능력이 최상위 수준이라는 의미입니다. 보안 취약점 분석은 결국 코드 독해력과 논리 추론의 조합인데, 이 두 지표가 모두 극단적으로 높다는 점이 CISA가 선택한 실질적 이유입니다. 100명 이상의 사이버보안 전문가가 사용 철회를 요구했지만, 수치 앞에서 논쟁이 밀렸습니다.
국방부는 '일시적'이라 했지만, 지금 당장 확인할 것
국방부는 '앤트로픽의 우위는 일시적'이라며 오픈AI, 구글, xAI도 유사한 수준의 보안 AI를 곧 내놓을 것이라고 밝혔습니다. 미소스 도입이 한시적 조치에 그칠 것이라는 전망도 공식적으로 나왔습니다. 그렇다면 지금 이 시점에 실용적으로 챙길 것은 하나입니다. 미소스가 발견한 취약점 유형, 즉 취약점 연결 공격 경로 분석이 실제 보안 점검 방법론으로 자리 잡고 있다는 흐름입니다. 기업 보안팀이나 개발자라면 단일 버그 패치보다 공격 경로 전체를 시뮬레이션하는 방식으로 점검 기준을 바꿔야 할 시점입니다. 여러분 조직의 코드 점검 방식은 지금 어느 단계까지 와 있나요?
#앤트로픽미소스 #클로드미소스 #CISA보안 #미국정부취약점 #프로젝트글래스윙 #AI보안점검 #NSA인공지능 #사이버보안AI #SWE벤치마크 #연방정부코드 #보안취약점분석 #클로드AI #AI취약점탐지 #미소스벤치마크