Anthropic이 발표한 Claude Mythos가 기존의 AI와 달리 주목을 받은 이유는, 제로데이 (Zero-day) 취약성을 자율적으로 발견하고 공격 시나리오를 생성할 수 있다는 점이다.

이는 공격자에게 악용될 경우 국가 인프라를 순식간에 마비시킬 위험성을 가진 반면, 방어 측이 사용하면 공격보다 빠른 방어를 실현할 수 있다.

이 능력의 위험성 때문에, Anthropic은 Mythos를 일반 공개하지 않고 신뢰할 수 있는 정부 및 인프라 기업에 한정하여 제공하는 방침을 채택했다.

미국 정부는 이를 받아 Project Glasswing을 창설하였으며, 목적은 "세계의 중요 소프트웨어의 취약성을 AI로 발견하여 국가 차원에서 방어하는 것"으로, 국방부·CISA·주요 인프라 기업이 연계하는 관민 공동 모델이다.

이 움직임은 세계로 파급되어 일본 정부도 일본판 Glasswing 검토를 시작했다. 배경에는 금융·전력·통신과 같은 기간 인프라가 AI 시대의 공격을 견뎌낼 수 없다는 위기감이 있으며, 이 움직임에 대해 분석해 보고자 한다.

*IT 분야에 정부 관료가 들어가면 실패할 것 같은 이미지인데・・

일본판 Project Glasswing의 실상

일본판 Glasswing은 2026년 5월 이후 금융청이 중심으로 검토를 시작했으며, 1차 보도에서는 다음과 같이 명확하게 언급되고 있다.

・금융청이 AI를 활용한 취약점 진단 프레임워크를 검토

・미국 Glasswing을 참고하여 관민 연계 모델을 구축

・3대 메가뱅크·일본은행·도쿄증권거래소가 참가하는 협의체를 설치

또한, 내각 사이버 보안 센터(NISC)도 전력·통신 등 비금융 인프라로의 확대를 염두에 두고 있다고 보도되었다.

일본판 Glasswing의 특징은 다음과 같다.

・국가 주도로 인프라 기업에 AI 취약점 진단을 의무화할 가능성

・AI Safety Institute (AISI)와 연계하여 AI 모델의 안전성 평가도 통합

・미국·EU와의 국제 연계를 전제로 한 방어망 구축

이라는 점에 있다.

국가·관료 주도로 정말 괜찮은가?

어디까지나 개인적인 주관이지만・・ 국가 주도는 필요하지만, 관료에게만 맡기면 파탄 날 것이다.

국가 주도가 필요한 이유로는

・중요 인프라에 대한 "강제력"은 국가만이 가지고 있다

・제로데이 (Zero-day) 취약성은 국가 기밀로 취급할 필요가 있다

・국제 연계(미국 Glasswing과의 정보 공유)는 정부 간에만 성립된다

즉, 사령탑은 국가여야 한다.

하지만 관료만으로는 위험하기도 하다.

・AI 취약점 진단은 LLM 추론·공격 기법·제어 시스템에 대한 이해가 필요하다

・행정 DX에서 보이는 "회의체만 만들고 실무가 진행되지 않는" 구조가 재발한다

・구현 능력은 민간(SIer·인프라 기업)에 편재되어 있다

특히 AI의 안전성·취약성·공격 시나리오 생성은 고도의 전문 영역이며, "기술을 이해하지 못하는 관료가 의사결정을 내리는 것"은 최대의 리스크가 된다.

필요한 것은 “국가 × 민간 × 해외 AI 기업”의 삼위일체다. 미국 Glasswing이 이 구조로 성공했다면, 일본도 같은 모델을 채택하지 않고서는 제도만 앞서가고 실동이 따르지 않을 것이다.

히타치의 참가가 의미하는 것

2026년 6월, 히타치 제작소는 Anthropic과 정식으로 연계하여 Claude Mythos Preview에 대한 액세스 권한을 취득했다. 이는 일본 기업으로서 처음이며, 사실상 일본판 Glasswing의 민간 측 핵심이 되는 움직임이다.

히타치는 전력, 철도, 산업 제어 시스템 (OT), 사회 인프라 소프트웨어 등을 다수 보유하고 있어 Mythos의 적용 영역이 넓다. 또한, Cyber CoE (사이버 전문 부대)를 보유하고 있어 AI 취약점 진단을 구현할 수 있는 국내 몇 안 되는 기업이다.

즉:

국가 (금융청·NISC)가 사령탑

→ 히타치가 현장에서 AI 방어를 구현

→ 해외 AI 기업 (Anthropic)이 모델을 제공

라는 삼위일체 모델이 일본에서도 성립되기 시작했다.

일본판 Glasswing은 국가 주도 + 민간 구현이어야 성공한다

일본판 Glasswing이 성공하는 조건은 국가의 강제력과 민간의 기술력을 통합하는 것에 달려 있다.

AI 시대의 사이버 공격은 국가 인프라를 직접 위협하기 때문에, 금융청이나 NISC가 사령탑이 되는 국가 주도는 필수적이다.

하지만 AI 취약점 진단이나 제로데이 (Zero-day) 대응은 고도의 전문성을 요하며, 관료만으로는 구현 속도를 따라갈 수 없다.

실제 방어는 히타치를 비롯한 인프라 기업·SIer가 담당해야 한다. 국가 주도 × 민간 구현 × 해외 AI 기업의 삼위일체 모델이야말로 일본이 AI 사이버 전쟁에서 살아남을 수 있는 현실적인 체제이다.

Discussion