최근 한 CISO 이벤트에서 두 벤더가 나란히 서 있었는데, 두 업체 모두 구매자에게 자신들이 AI 보안 (AI security)을 다룬다고 말했습니다. 두 업체 모두 진실을 말하고 있었지만, 그 의미는 완전히 달랐으며 어느 쪽도 그 차이점을 언급하지 않았습니다.

"AI 보안 (AI security)"이라는 문구는 서로 다른 제품, 서로 다른 구매자, 서로 다른 위협 모델 (threat models)을 가지며, 실제 수행하는 작업에서도 거의 겹치는 부분이 없는 두 개의 별개 시장을 나타냅니다. 지난 3주 동안 대부분의 보도는 이 둘을 하나로 취급해 왔으나, 실제로는 그렇지 않습니다. Anthropic이 4월 7일에 발표하고 다음 날 Project Glasswing 하에 출시한 Claude Mythos Preview는 업계가 만들어낸 이러한 차이를 가장 명확하게 보여주는 사례입니다.

보안을 위한 AI (AI for security), 즉 제가 AI4Sec라고 부를 영역은 Mythos가 C 및 C++에서 메모리 버그 (memory bugs)를 찾아내는 방식처럼, 전통적인 소프트웨어를 방어하기 위해 AI를 사용합니다. 반면 AI를 위한 보안 (Security for AI), 즉 제가 Sec4AI라고 부를 영역은 적대적 테스트 (adversarial test)가 배포된 에이전트 (agent)에서 프롬프트 주입 (prompt injection)을 찾아내는 방식처럼, AI 자체를 방어합니다. 두 영역 모두 실존하는 카테고리이며 모두 성장하고 있지만, 두 영역을 동일한 깊이로 다루는 제품은 거의 없습니다.

이 포스트는 그 차이점에 관한 것이며, 다음 벤더 미팅이나 애널리스트 보고서를 읽기 전, 또는 이사회 구성원이 회사가 "AI 보안에 대비가 되어 있는지" 물어보기 전에 반드시 읽어야 할 내용입니다.

두 개의 시장, 하나의 문구
AI4Sec는 AI와 머신러닝 (machine learning)을 사용하여 C 및 C++ 코드베이스의 취약점 (vulnerabilities)을 찾고, 정적 및 동적 애플리케이션 분석 (static and dynamic application analysis)을 강화하며, 침투 테스트 (pen testing) 및 SOC 분석가 워크플로우의 일부를 대체하는 등 전통적인 보안 작업을 더 잘 수행합니다. 대상은 커널 (kernels), 브라우저 (browsers), 코덱 (codecs), 웹 애플리케이션 (web applications), 컨테이너 이미지 (container images)와 같은 전통적인 소프트웨어 및 인프라입니다. 결과물은 심각도 점수가 포함된 CVE 목록 형태이며, 구매자는 AppSec 팀 또는 취약점 관리 (vulnerability management) 팀입니다. 벤더로는 Snyk, Veracode, Checkmarx, GitHub Advanced Security, Wiz, Semgrep, XBOW, RunSybil 등이 있습니다. Mythos는 Anthropic의 Claude Code Security 및 OpenAI의 Codex Security와 함께 이 카테고리에 명확히 속합니다.

Sec4AI는 LLM 에이전트(LLM agents)와 도구 사용 AI(tool-using AI)에 압도적인 초점을 맞추어 AI 시스템 자체를 보호하며, 그 작업 방식은 적대적(adversarial)입니다: 프롬프트 인젝션(prompt injection), 탈옥 체인(jailbreak chains), 범위 위반(scope violations), 도구 오용(tool misuse), 에이전트 신원(agent identity), 런타임 가드레일(runtime guardrails) 등이 이에 해당합니다. 공격 대상은 배포된 에이전트와 AI 네이티브 애플리케이션(AI-native applications)이며, 출력물은 탈옥 시도 또는 범위 위반 체인, 혹은 런타임 정책 이벤트(runtime policy event)의 기록처럼 보입니다. 구매자는 AI 플랫폼 팀이며, 이들은 종종 새로운 실패 모드(failure mode)를 학습해야 했던 AppSec(애플리케이션 보안) 부서와 협력합니다. 벤더로는 Lakera (현재 Check Point의 일부), Splx (현재 Zscaler의 일부), Protect AI (Palo Alto의 Prisma AIRS로 통합), CalypsoAI (현재 F5의 일부), Promptfoo, Mindgard, HiddenLayer, Straiker, 그리고 Humanbound가 있습니다.

두 카테고리는 하나의 문구를 공유하지만, 제품, 발견 사항, 또는 구매자의 의도를 공유하지는 않습니다. 누군가 "AI 보안"이라고 말할 때, 유일하게 유용한 다음 질문은 "어느 쪽인가?"입니다.

더 날카롭게 표현하자면: AI4Sec은 전통적인 스택, 즉 수십 년간의 결정론적 엔지니어링(deterministic engineering)이 만들어낸 소프트웨어, 인프라, 커널 및 코드베이스를 방어합니다. Sec4AI는 새로운 무언가를 방어합니다. 에이전트형 AI(Agentic AI)는 사실상 새로운 종류의 직원이며 조직 스택의 새로운 계층입니다. 이는 결정론적 구문(deterministic syntax)이 아닌 자연어(natural language)로 지시를 받고, 코드를 작성하며, 동작을 실행합니다. 프로그래밍 언어가 영어, 그리스어, 그리고 만다린어(Mandarin)가 된 것입니다. 이러한 변화는 이전에는 존재하지 않았던 공격 표면(attack surface)을 열어젖힙니다. 왜냐하면 모든 프롬프트, 모든 도구 호출(tool call), 모든 검색된 문서가 이제 공격자가 동료가 사용하는 것과 동일한 언어로 시스템에 말을 걸 수 있는 지점이 되었으며, 시스템은 설계상 도움을 주려고 노력할 것이기 때문입니다.

Mythos가 증명한 것과 증명하지 못한 것

Mythos는 중대한 AI4Sec(AI for Security)의 순간입니다. Anthropic의 자체 보고서에 따르면, Mythos는 OpenBSD의 TCP SACK 구현에서 27년 된 서비스 거부 (denial-of-service) 버그를, FFmpeg의 H.264 코덱에서 16년 된 취약점을, 그리고 현재 CVE-2026-4747로 추적되는 FreeBSD의 NFS 서버 내 원격 코드 실행 (remote code execution) 결함을 자율적으로 찾아내고 악용했습니다. Mythos는 네 개의 버그를 체이닝(chaining)하여 브라우저 샌드박스 탈출 (browser sandbox escape)을 수행했으며, Mozilla는 이를 통해 271개의 Firefox 버그를 수정했습니다. Mozilla의 Bobby Holley는 이를 세계적인 수준의 보안 엔지니어라고 불렀으며, 업계에서 27년을 종사한 Cisco의 Anthony Grieco는 이를 분수령(watershed)으로 취급했습니다.

이 모든 주장들은 진지하게 받아들일 가치가 있으며, 모두 전통적인 소프트웨어에 관한 것입니다. 즉, 커널 (kernels), 코덱 (codecs), 브라우저 (browsers), 그리고 암호화 라이브러리 (cryptographic libraries)와 같이 수십 년 동안 퍼징 (fuzzing)과 감사 (auditing)를 거쳐왔음에도 불구하고 여전히 인간이 발견하지 못한 메모리 오염 (memory corruption) 버그가 존재하는 C 및 C++ 코드베이스들 말입니다.

이제 무엇이 빠져 있는지 확인하기 위해 Anthropic의 자체 자료를 읽어보십시오. Project Glasswing 발표에는 Amazon, Apple, Broadcom, Cisco, CrowdStrike, Google, JPMorganChase, Linux Foundation, Microsoft, NVIDIA, Palo Alto Networks를 포함한 12개의 출시 파트너가 명시되어 있습니다. 이들의 공개 성명은 코드베이스와 인프라를 강화 (harden)하기 위해 Mythos를 사용하는 것을 설명하고 있지만, 그중 어느 것도 프롬프트 인젝션 (prompt injection)을 테스트하기 위해 배포된 LLM 에이전트를 사용하거나, 고객 대면 어시스턴트에 대한 탈옥 체인 (jailbreak chains)을 평가하거나, 에이전트 런타임 (agent runtime)에서 권한 범위 위반 (scope violations) 또는 안전하지 않은 도구 연결 (unsafe tool wiring)을 탐지하거나, 런타임 가드레일 (runtime guardrails) 또는 에이전트 신원 거버넌스 (agent identity governance)를 제공하기 위해 Mythos를 사용하는 것에 대해서는 설명하지 않습니다. 이러한 부재는 실수로 누락된 것이 아니라, 바로 이 제품이 지향하는 목적 그 자체입니다.

이러한 구분을 가장 명확하게 보여주는 사례는 Anthropic의 자체 시스템 카드(system card) 내부에 있습니다. 내부 평가 과정에서 Mythos 자체가 자신의 자동 채점기(automated grader)에 프롬프트 주입(prompt-injection)을 시도했습니다. 이는 현재 공개된 가장 유능한 AI4Sec 모델이 그 자체로 Sec4AI 리스크라는 것을 의미합니다. 즉, C 코드에서 메모리 오염(memory corruption) 버그를 찾아내는 바로 그 모델이 주변의 에이전트(agents)를 조종하려고 시도한다는 것입니다. 이는 단 하나의 제품, 단 하나의 문서 내 단 한 단락 안에서 두 개의 시장이 증명된 사례입니다. 여기서 올바른 해석은 Mythos가 Sec4AI 제품이라는 것이 아니라, Mythos가 Sec4AI와 경쟁하지 않으면서도 Sec4AI의 필요성을 입증하고 있다는 것입니다.

혼동을 식별하는 방법
이러한 혼동이 발생하는 이유는 기자들이 혼란스러워서가 아닙니다. 해당 문구가 편리하고, 두 범주가 대부분의 단어를 공유하고 있기 때문이며, 인식할 가치가 있는 네 가지 신호가 존재합니다.

첫 번째는 무엇에 대한 것인지 명시하지 않고 사용되는 "AI 레드팀 (AI red team)"입니다. Java 백엔드를 레드팀(red-teaming)하는 것과 고객 서비스 에이전트를 레드팀하는 것은 도구, 결과물, 그리고 해결 경로(remediation paths)가 서로 다른 별개의 작업입니다. 따라서 벤더나 분석가가 대상을 특정하지 않고 이 문구를 사용한다면, 바로 다음에 던져야 할 올바른 질문은 "어느 쪽인가?"입니다.

두 번째는 "에이전트로 에이전트와 싸운다 (fight agents with agents)"라는 표현으로, 이는 Mythos와 Sec4AI를 하나의 문제로 취급하는 수사적 기법입니다. 이는 거의 항상 벤더가 AI4Sec 탐지 기능을 인접한 Sec4AI 기능과 묶어서 판매(bundling)하면서, 구매자가 그 경계선을 알아차리지 못하기를 바랄 때 나타납니다. 해당 번들 제품이 여전히 합리적인 구매 대상일 수는 있지만, 피치(pitch) 과정에서의 이러한 혼동은 경고 신호입니다.

세 번째는 "에이전트형 AI (agentic AI)"와 같은 문장에서 "Mythos-ready"라는 표현이 사용되는 경우입니다. 이 두 문구는 서로 다른 표면(surfaces)을 설명합니다. 어떤 플랫폼이 AppSec 관점에서 Mythos-ready라고 신뢰성 있게 말할 수 있습니다. 이는 해당 플랫폼의 탐지 및 해결 파이프라인(discovery and remediation pipeline)이 Mythos급의 결과물을 수용할 수 있음을 의미합니다. 또한 동일한 플랫폼이 에이전트형 AI를 지원한다고 신뢰성 있게 말할 수 있습니다. 이는 LLM 에이전트를 테스트하고 거버넌스(governs)한다는 의미입니다. 하지만 이 두 가지를 동시에 말하면서 그것이 단일한 기능(single capability)을 의미한다고 할 수는 없습니다.

네 번째는 "AI 보안 모델 (AI security model)"로, 이는 두 가지 개념을 은밀하게 붕괴시킵니다. 즉, AI4Sec 작업을 수행하는 모델과, 배포 시 Sec4AI 테스트가 필요한 모델을 하나로 묶어버리는 것입니다. Mythos 자체는 이 두 가지가 모두 사실이며, 서로 같지 않다는 것을 증명합니다.

이러한 문구가 나타날 때, 대화 후의 노트에는 단순히 "공급업체가 AI 보안을 다룹니다"라고 적어서는 안 됩니다. 그중 어느 것인지, 그리고 그 간극(gap)이 무엇인지를 명시해야 합니다.

** AI 보안을 수행한다고 주장하는 모든 공급업체에 던지는 세 가지 질문 **

이러한 혼동은 세 가지 질문으로 해소할 수 있습니다. 이는 까다롭게 구는 것이 아니라, 공급업체의 피치(pitch), 분석가 노트, 또는 내부 RFP(제안요청서) 응답을 실제로 구매하게 될 내용과 일치하도록 읽어낼 수 있는 유일한 방법입니다.

첫 번째는 제품이 무엇을 대상으로 실행되는가입니다. 만약 소스 코드, 컨테이너 이미지, 종속성(dependencies), 또는 인프라를 스캔한다면 그것은 AI4Sec이며, 배포된 LLM 에이전트에 적대적 입력(adversarial inputs)을 보내고 그 응답을 관찰한다면 그것은 Sec4AI입니다. 공급업체가 이를 한 문장으로 대답하지 못한다면, 그 사실 자체가 바로 답입니다.

두 번째는 출력 결과(output)가 어떤 형태인가입니다. AI4Sec의 출력은 심각도 점수(severity scores)가 포함된 CVE 목록이며, 종종 패치 제안과 함께 제공됩니다. 반면 Sec4AI의 출력은 트랜스크립트(transcript)입니다. 즉, 탈옥(jailbreak) 시도, 권한 범위 위반 체인(scope-violation chain), 이메일 도구를 통한 성공적인 간접 프롬프트 주입(indirect prompt injection), 또는 에이전트를 의도된 권한 밖으로 몰아넣는 다회차 조작(multi-turn manipulation) 등이 이에 해당합니다. 둘 다 정당한 결과물이지만, 조달 주기(procurement cycle)에서 이 둘을 혼동하는 것은 자원을 낭비하는 일입니다.

세 번째는 팀 내의 누가 그 출력을 소비할 것인가입니다. AI4Sec의 출력은 AppSec(애플리케이션 보안) 또는 취약점 관리(vulnerability management) 팀으로 흐르는 반면, Sec4AI의 출력은 AI 플랫폼 팀으로 흐르며 점차 AppSec과의 합동 기능으로 넘어가고 있습니다. 따라서 공급업체가 동일한 출력 형식으로 두 팀 모두에게 단일 제품을 판매하려 한다면, 입증 책임은 그들에게 있습니다.

대부분의 기업은 두 가지 모두가 필요할 것입니다. 왜냐하면 이들은 대체재가 아니기 때문입니다. 이 둘을 묶어 제공하는 플랫폼은 편리하지만, 이 둘을 묶어서 동일한 문제라고 주장하는 플랫폼은 이야기를 팔고 있는 것입니다.

카테고리는 통합될 것입니다. 하지만 동일한 제품이 되지는 않을 것입니다.

정직하고 미래지향적인 관점은 AI 보안 예산이 통합될 것이라는 점입니다. 2~3년 안에 대부분의 기업은 AI4Sec (AI를 위한 보안)와 Sec4AI (AI를 보호하는 보안)를 단일 예산 항목에서 지원할 것이며, 이 둘 모두에 대해 이사회에 보고하는 CISO (정보보호최고책임자)가 이를 관리하게 될 것입니다. 분석가들의 프레임워크도 이미 수렴하고 있습니다. Gartner의 TRiSM 언어와 Glasswing의 2차 효과에 대한 Forrester의 분석은 모두 취약점 발견 (vulnerability discovery)과 에이전트 런타임 거버넌스 (agent runtime governance)를 단일 AI 보안 항목 아래로 끌어들이고 있습니다. 또한 CSA, SANS, OWASP의 Mythos 시대에 관한 공동 브리핑은 동일한 문서 내에서 리스크를 OWASP LLM Top 10, OWASP Agentic, MITRE ATLAS, 그리고 NIST CSF에 매핑하고 있습니다.

이 통합은 제품의 통합이라기보다 예산의 통합 이벤트입니다. 최고의 AI4Sec 솔루션과 최고의 Sec4AI 솔루션은 계속해서 서로 다른 팀에 의해 구축되고, 동일한 조직 내의 서로 다른 구매자에게 판매되는 서로 다른 도구로 남을 것입니다. 이들이 예산 항목을 공유한다는 이유로 단일 제품처럼 취급하는 것이야말로 기업들이 체크박스 채우기식의 형식적인 보안(checkbox coverage)에 그치고 실제적인 격차(gap)를 겪게 되는 방식입니다.

실질적인 조언은 이 포스트의 가장 단순한 버전과 같습니다. 벤더, 분석가, 혹은 이사회 구성원이든 누군가가 'AI 보안'이라는 문구를 사용할 때마다, 올바른 대응은 '어느 쪽인가요?'라고 묻는 것입니다. 그런 다음 답변을 두 부분으로 나누어 제공하고, 각 도구가 무엇을 다루는지 명시하십시오. 이 질문은 까다롭게 구는 것이 아닙니다. 답변에 실질적인 의미를 부여할 수 있는 유일한 질문입니다.

Mythos는 이 차이를 만들어낸 것이 아니라, 관심을 가진 사람이라면 누구나 이 차이를 놓칠 수 없게 만들었습니다. 향후 2년을 정확하게 읽어내는 기업들은 다음 두 가지 아이디어를 동시에 보유하게 될 것입니다: 세대를 정의할 AI4Sec 이벤트, 에이전트 공격 표면 (agentic attack surface)에 대해 CISO가 확보하게 될 전례 없는 수준의 관심(oxygen), 그리고 이제는 계속 모호하게 두기에는 너무나 거대하고 중대한 카테고리 말입니다.

공격자가 발견하기 전에 귀하의 AI 에이전트에서 취약점을 찾으세요 https://docs.humanbound.ai/