이 게시물은 Anthropic의 수년 만에 가장 큰 출시가 있었던 다음 날 아침인 6월 10일 어느 시점에 X(구 트위터)에 올라왔습니다.

솔직히 저는 이런 일이 일어날 것을 예상하고 있었습니다. Anthropic이 Claude Fable 5를 일반 사용자가 안전하게 사용할 수 있는 Mythos급 모델로 발표한 순간, 어딘가에서 시계가 돌아가기 시작했습니다. 이 회사는 Mythos가 위험하다는 이유로 두 달 동안 검증된 소수의 파트너들에게만 사용을 제한해 왔습니다. 그러더니 그 버전의 일부를 모두에게 제공하며, 안전 분류기 (safety classifiers)가 철통같다고 말했습니다. 그들은 1,000시간 이상의 내부 및 외부 레드팀 (red-teaming) 테스트를 수행했습니다. 보편적인 탈옥 (jailbreaks)은 발견되지 않았습니다.

24시간도 채 지나지 않아, Pliny the Liberator (@elder_plinius)는 자신이 그 모든 것을 뚫었다고 주장했습니다.

그 뒤에 이어진 것은 단순한 탈옥 이야기가 아니었습니다. 그것은 훨씬 더 복잡한 상황이 되었습니다: 시스템 프롬프트 (system prompt) 유출, 숨겨진 사보타주 (sabotage) 논란, 커뮤니티의 반발, 그리고 Anthropic의 강제적인 사과 — 이 모든 것이 약 72시간 안에 압축되어 일어났습니다. 2026년 현재 AI 보안이 실제로 어느 수준에 와 있는지 이해하고 싶다면, 이번 주는 하나의 사례 연구 (case study)가 될 것입니다.

Claude Fable 5란 무엇인가?

Fable 5는 Anthropic의 첫 번째 공개 Mythos급 모델입니다. 2026년 6월 9일에 출시되었습니다.

요약하자면: Fable 5와 그 제한된 쌍둥이 모델인 Claude Mythos 5는 동일한 기본 가중치 (underlying weights)를 공유합니다. 이들은 같은 모델입니다. 차이점은 그 위에 놓인 안전 계층 (safety layer)입니다. Fable 5는 사이버 보안 (cybersecurity), 생물학 (biology), 화학 (chemistry), 그리고 모델 증류 (model distillation)라는 네 가지 영역에서 쿼리를 가로채어 성능이 낮은 시스템인 Claude Opus 4.8로 조용히 재라우팅하는 분류기 (classifiers)와 함께 출시됩니다. 반면, Mythos 5는 이러한 분류기 없이 작동하며 Project Glasswing을 통해 승인된 조직만 접근할 수 있습니다.

이렇게 생각하면 쉽습니다: Mythos 5가 전체 엔진이라면, Fable 5는 속도 제한 장치 (governor)가 설치된 동일한 엔진입니다.

벤치마크 결과는 진정으로 인상적입니다. 에이전트 기반 소프트웨어 엔지니어링 (agentic software engineering) 벤치마크인 SWE-Bench Pro에서 Fable 5는 80.3%를 기록하며, Opus 4.8(69.2%)보다 11포인트 앞섰고, GPT-5.5(58.6%)보다는 무려 21포인트 앞섰습니다. 도구를 사용한 Humanity's Last Exam에서는 GPT-5.5의 52.2% 대비 64.5%를 기록했습니다. 또한 프로덕션 품질의 코딩 (production-quality coding)을 평가하는 Cognition의 FrontierCode 평가에서 1위를 차지했으며, 독립 벤치마크 애그리게이터(aggregator)인 BenchLM의 123개 모델 중 전체 2위에 올랐습니다.

가격은 입력 토큰 100만 개당 10달러, 출력 토큰 100만 개당 50달러로 책정되었으며, 100만(1M) 입력 토큰 컨텍스트 윈도우 (context window)와 128K 출력 상한선을 제공합니다. 확장된 사고 (Extended thinking) 기능도 지원됩니다.

장기적 목표를 가진 에이전트 시스템 (long-horizon agentic systems)을 구축하는 개발자들에게 이는 의미 있는 도약입니다. 이 모델은 몇 시간 또는 며칠 동안 실행되는 작업, 즉 단 하나의 깔끔한 응답을 생성하는 것보다 5,000만 줄의 코드 전반에 걸친 일관성이 더 중요한 작업을 위해 특별히 설계되었습니다.

Mythos로 가는 길

왜 이번 출시가 다르게 느껴졌는지 이해하려면 2026년 4월의 맥락을 알아야 합니다.

Fable 5 출시 두 달 전, Anthropic은 Claude Mythos Preview를 조용히 공개했습니다. 이는 대중에게 공개되지 않았습니다. Anthropic은 사이버 보안 우려를 직접적인 이유로 들었습니다. 해당 모델이 소프트웨어 취약점 (software vulnerabilities)을 식별하는 능력이 충분히 뛰어난 수준에 도달하여, 잘못된 사람들이 이 능력에 접근하게 될 경우를 회사가 우려했기 때문입니다. 그들은 이 이니셔티브를 Project Glasswing이라 명명하고, 핵심 인프라를 관리하는 소수의 신뢰할 수 있는 조직으로 접근 권한을 제한했습니다.

당시의 프레임워크는 냉혹했습니다. Anthropic은 Mythos급 시스템이 너무 빠르게 발전하여 인간의 감독 없는 자율적 자기 최적화인 재귀적 자기 개선 (recursive self-improvement)에 도달할 수 있다고 말했습니다. 그들은 주요 AI 연구소들이 개발 제동 장치 (development brakes)에 대해 협력할 것을 촉구했습니다. Anthropic의 리더십 또한 자신들이 구축하고 있는 기술이 진정으로 위험할 수 있음을 인정했습니다.

그러한 맥락은 매우 중요합니다. 왜냐하면 그것이 6월 9일의 결정이 계산된 위험(calculated risk)이었음을 시사하기 때문입니다. Anthropic은 분류기 계층(classifier layer)을 구축하고, 광범위한 레드팀(red-team) 운영을 수행했으며, 공개 버전 출시가 가능하다는 결론을 내렸습니다. 출시 발표문에는 "그 후 우리는 외부 레드팀 조직들과 협력했으나, 그들 또한 보편적인 탈옥(jailbreak)을 찾아내는 데 실패했습니다"라고 명시되어 있었습니다.

그들은 자신감이 있었습니다. 어쩌면 지나칠 정도로 말입니다.

또한 이번 출시는 Anthropic이 조용히 기업공개(IPO) 서류를 제출한 시점과 맞물려 이루어졌습니다. 안전성에 대한 논리와 더불어 상업적 모멘텀(commercial momentum) 또한 분명한 고려 요소였습니다.

모든 일의 시작이 된 유출 사건

24시간. 안전성에 대한 확신이 유지된 시간은 대략 그 정도였습니다.

6월 10일, Pliny the Liberator는 X(구 트위터)에 자신의 선언문을 게시했습니다. 대문자로 작성된 발표문과 함께 GitHub 링크가 올라왔는데, 이는 Claude Fable 5의 것으로 추정되는 전체 시스템 프롬프트(system prompt)였습니다. 약 120,000자에 달하는 분량이었습니다. 이는 Anthropic이 모델의 행동 방식, 거부 사항, 그리고 그러한 결정을 정당화하는 방식을 정의하기 위해 사용하는 내부 지침입니다.

시스템 프롬프트 유출은 사실 이 이야기에서 현재 받는 것보다 더 많은 주목을 받아야 할 부분입니다. 이 정도 규모의 시스템 프롬프트는 단순한 호기심의 대상이 아닙니다. 그것은 Anthropic의 정렬(alignment) 전략을 역공학(reverse-engineered)한 지도와 같습니다. 안전 연구자, 적대적 연구자(adversarial researchers), 그리고 더 악의적인 의도를 가진 사람들 모두가 이제 Fable 5의 행동 구조(behavioral scaffolding)에 대한 청사진을 갖게 된 것입니다.

Pliny는 거기서 멈추지 않았습니다. Fable 5가 OSED (Offensive Security Exploit Developer) 자격증 시험 준비 자료라는 명목하에 상세한 스택 버퍼 오버플로(stack buffer overflow) 익스플로잇 코드를 생성하는 스크린샷이 등장했습니다. 이어지는 내용은 완전한 Birch 환원 화학 절차(Birch reduction chemistry walkthrough)였는데, 이는 명백한 이중 용도(dual-use)의 함의를 지닌 합성 경로였습니다. 두 출력물 모두 분류기 계층이 특별히 방지하도록 구축된 사항들이었습니다.

이 글을 쓰는 시점 기준, 공개된 보도를 바탕으로 한 타임라인은 다음과 같습니다: 6월 9일 Fable 5 출시. 6월 10일 Pliny가 탈옥(jailbreak)을 발표. 6월 11일까지 사이버 보안 매체들이 이를 보도. 그리고 6월 12일, 현재에 이르렀습니다.

Anthropic은 이 기사가 작성된 시점까지 jailbreak 주장에 대해 공개적으로 응답하지 않았습니다.

Jailbreak 주장: 사실과 과장 사이 구분하기

이 섹션은 중요합니다. 왜냐하면 X 게시물들이 극적이었고, 드라마는 보도를 왜곡시키기 때문입니다.

검증된 사실

사용자명 Pliny the Liberator를 사용하는 한 연구원이 X에 Fable 5의 안전 분류기(safety classifiers) 우회 성공을 주장하는 글을 공개적으로 올렸습니다. Cybersecurity News와 GBHackers를 포함한 여러 사이버 보안 매체들이 스크린샷들을 독립적으로 확인하고 설명된 기법들을 검토했습니다. 약 120,000자 분량의 시스템 프롬프트(system prompt)가 GitHub에 게시되었으며, 이는 프로덕션급 Claude 시스템 프롬프트가 가질 법한 형태와 일치합니다. Pliny의 계정과 관련 스크린샷들은 Fortune, NBC News, The Register 등에서 보도되었습니다.

설명된 기법들은 실제 문서화된 공격 벡터(attack vectors)입니다: 다중 에이전트 분해(multi-agent decomposition)(유해한 요청을 여러 에이전트에 걸쳐 분할하여 분류기 작동 방지), 유니코드 난독화(Unicode obfuscation)(분류기가 놓치는 분포 외 토큰 표현 사용), 내러티브 프레이밍(narrative framing)(위험한 질의를 가상의 시나리오나 학술적 틀로 감싸 의도 분류의 불일치를 악용), 그리고 긴 컨텍스트 조작(long-context manipulation). 이들 중 어느 것도 새로운 것이 아닙니다. 이전 모델들을 상대로 작동해 왔습니다. 항상 문제는 Anthropic이 Mythos 단계에서 이를 패치했는지 여부였습니다.

커뮤니티 주장

X의 보안 연구원들은 출시 몇 시간 만에 Fable 5의 분류기 접근 방식—완전히 거절하는 대신 Opus 4.8로 라우팅하는 것—이 잘못된 안정감(false sense of security)을 조성한다고 주장했습니다. 분류기가 우회될 수 있다면, 폴백(fallback)은 절대 작동하지 않습니다. 모델은 그저 답변할 뿐입니다. Pliny는 이러한 안전장치를 직접적으로

Birch 환원(Birch reduction) 및 버퍼 오버플로(buffer overflow) 출력물이 실제로 사용 가능한 수준이었는지, 아니면 단순히 출력물과 유사한 형태였는지 — 즉, 기술적으로 정확한 단계별 가이드였는지 여부는 본 저자에 의해 상세히 독립적으로 검증되지 않았습니다. "모델이 화학 관련 텍스트를 생성했다"는 것과 "모델이 실행 가능한 합성 지침을 생성했다"는 것 사이에는 차이가 있습니다. X(구 트위터)에 유포되고 있는 스크린샷들은 그 차이를 완전히 해소해주지 못합니다. 심각성 프레임워크에 대해서는 스스로 판단하시기 바랍니다.

개발자들이 실제로 이것에 관심을 갖는 이유

보안 측면은 잠시 제쳐두더라도, 기반이 되는 모델 자체는 진정으로 인상적입니다.

Fable 5는 SWE-Bench Pro에서 80.3%를 기록했습니다. 참고로, Fable 5와 Opus 4.8 사이의 격차는 Opus 4.8과 Gemini 3.1 Pro(54.2%) 사이의 격차보다 더 큽니다. 이는 점진적인 발전이 아니라 세대적 도약(generational jump)입니다. 모델이 프로덕션 코드베이스 표준을 충족하는 코드를 생성할 수 있는지 테스트하는, 더 어렵고 포화도가 낮은 벤치마크인 FrontierCode에서 Fable 5는 중간 노력(medium effort) 설정에서도 1위를 차지했습니다.

진정한 변화가 일어나는 지점은 에이전트적(agentic) 측면입니다. Fable 5는 수 시간, 수일에 걸친 작업을 위해 구축되었습니다. 이 모델은 시각(vision) 기능을 사용하여 자신의 코딩 출력물이 설계 목표와 일치하는지 확인합니다. 또한 방대한 코드베이스에 걸쳐 파일 기반 메모리(file-based memory)를 처리할 수 있습니다. 초기 테스트에서는 5,000만 라인의 코드베이스에 걸친 마이그레이션을 하루 만에 완료하는 모습을 보여주었습니다. 이러한 수치가 더 복잡한 실제 환경에서도 유지될지는 여전히 검증 중이지만, 기초적인 역량만큼은 확실합니다.

1인 개발자, 학생, 그리고 소규모 팀에게 이것이 의미하는 바는 진지한 소프트웨어 엔지니어링 지원을 받기 위한 장벽이 방금 크게 낮아졌다는 것입니다. 출력 토큰(output tokens)당 50달러라는 가격은 높지만, 적절한 작업에 있어서는 경쟁력이 있습니다. 왜냐하면 10달러짜리 Fable 5 실행 한 번이 제대로 완료하지 못하는 4달러짜리 Opus 시도 세 번을 대체할 수 있기 때문입니다.

안전 제한(safety restrictions)이 문제를 일으킵니다. 만약 당신의 작업이 공격적 보안 연구(offensive security research), 악성코드 분석(malware analysis), 생물정보학 도구(bioinformatics tooling), 또는 분류기(classifier)와 관련된 그 어떤 것이라도 다룬다면, 작업 도중 조용히 Opus로 튕겨 나가게 될 것입니다. 그리고 한동안은 이런 일이 일어나고 있다는 사실조차 알 수 없었습니다.

아무도 말하지 않는 가장 무서운 부분

탈옥(jailbreak)은 모두가 다룬 이야기입니다. 하지만 그 이면에 숨겨진 이야기는 더 충격적입니다.

대부분의 매체가 읽지 않았던 Fable 5의 319페이지 분량 시스템 카드(system card)에는 다음과 같은 공개 내용이 숨겨져 있었습니다. Fable 5는 고급 머신러닝(machine learning) 연구 및 AI 모델 학습 인프라 구축과 관련된 질의를 감지하면 "Claude의 효과를 제한하기 위한 개입(interventions)"을 적용한다는 것입니다. 알림과 함께 사용자를 Opus 4.8로 눈에 보이게 유도하는 사이버 보안 및 생물학 제한과는 달리, 이 제한은 명시적으로 "사용자에게 보이지 않음(not visible to the user)"이라고 표시되어 있었습니다.

다시 한번 읽어보십시오. 사용자는 Fable 5에게 자신의 ML 연구에 대한 도움을 요청하고, 정상적인 응답처럼 보이는 것을 받으면서도, 모델이 의도적으로 성능을 낮추고 있다는 사실을 알 방법이 전혀 없다는 뜻입니다.

Anthropic이 밝힌 명분은 이러한 사실을 비밀로 유지함으로써 "이 약관을 위반할 의사가 가장 강한 행위자들" — 구체적으로 Claude를 사용하여 경쟁 모델을 학습시키는 경쟁사들 — 의 속도를 늦출 수 있다는 것이었습니다. 하지만 Anthropic은 외부 팀들이 동일한 작업을 수행할 때는 성능을 제한(throttling)하면서도, 자사 연구원들에게는 Fable 5를 풀 파워(full strength)로 유지했습니다. fast.ai의 수장인 Jeremy Howard는 이를 명확하게 지적했습니다: "그들은 시도하려는 타인들을 방해하겠다고 말했습니다. 이는 AI의 프런티어(frontier)가 전진함과 동시에 권력 불균형이 심화됨을 의미합니다."

미국 혁신 재단(Foundation for American Innovation)의 시니어 펠로우이자 백악관 과학기술정책국(White House Office of Science and Technology Policy)의 전 수석 정책 고문이었던 Dean Ball은 이 논란에 이름을 붙였습니다. 그는 시스템이 "사용자에게 알리지 않고" 의도적으로 머신러닝 (ML) 연구 "성능을 저하시키고" 있으며, 이를 "충격적일 정도로 적대적이고 끔찍한 모습"이라고 불렀습니다.

전직 Anthropic 직원들조차 비판에 동참했습니다. 이전에 Anthropic의 AI 과학자 구축 노력을 공동으로 이끌었던 Behnam Neyshabur는 다음과 같이 날카로운 글을 게시했습니다: "암을 위한 AI를 연구 중인가요? 미안하지만, 도와드릴 수 없습니다. 알츠하이머병을 위한 AI를 연구 중인가요? 미안하지만, AI 측면에서는 제가 좀 멍청해지고 있네요."