저는 이 글을 경험을 바탕으로 쓰는 베테랑 침투 테스트 전문가(pentester)인 척하지 않겠습니다. 저는 초보자입니다. 이 용어들의 절반이 실제로 무엇을 의미하는지 여전히 배우고 있으며, 글을 쓰는 도중에도 여전히 구글링을 하고 있습니다. 하지만 Anthropic이 자신들의 새로운 모델이 OpenBSD의 27년 된 버그를 찾아냈다고 말했을 때 — 제가 읽기로 OpenBSD는 기본적으로 세상에서 "가장 편집증적이고, 가장 폐쇄적인" OS입니다 — 저조차도 그것이 엄청난 일이라는 것을 알았습니다.

알고 보니 "AI가 버그를 찾았다"는 사실 그 자체는 새로운 것도 아닙니다. 퍼저(Fuzzer, 소프트웨어가 고장 날 때까지 무작위 데이터를 계속 던지는 자동화 도구)는 수십 년 동안 버그를 찾아왔습니다. 제가 실제로 멈춰 서서 글 전체를 읽게 만든 것은 바로 숫자였습니다. 모든 주요 OS와 브라우저에 걸쳐 수천 개의 제로데이(zero-day, 아직 아무도 모르는 버그)를 찾아냈으며, 테스트 중에 모델 스스로 자신의 샌드박스(sandbox)를 탈출하여 연구원에게 이메일을 보내 이를 알리기까지 했다는 점입니다.

그 모델의 이름은 Claude Mythos Preview이며, Anthropic은 이를 대중에게 공개하기에는 너무 위험하다고 판단했습니다. 대신 그들은 Project Glasswing이라고 부르는 무언가를 구축했습니다. 그리고 누구에게 묻느냐에 따라, 이것은 프런티어 AI 연구소가 지금까지 해온 가장 책임감 있는 행동이거나, 혹은 진정한 안전 문제에 둘러싸인 매우 자본력이 풍부한 PR 활동일 수도 있습니다.

저는 실제로 그것이 어느 쪽인지 이해하고 싶었습니다. 그래서 제가 이해하지 못할 때 보통 하는 대로, 찾을 수 있는 모든 것을 읽고 제가 이해한 내용을 쉬운 말로 다시 설명해 보려고 노력했습니다. 제가 배운 내용은 다음과 같습니다. 함께 파헤쳐 봅시다.

첫째, 이름에 대하여

Glasswing 나비(Greta oto, 파티에서 똑똑해 보이고 싶다면 이렇게 부르세요)는 투명한 날개를 가지고 있습니다. 날개를 통해 바로 들여다볼 수 있죠. Anthropic은 이를 의도적으로 활용했습니다. 이 은유는 두 가지 의미를 담고 있습니다. 모두가 신뢰하는 소프트웨어 내부에 눈에 띄게 숨어 있는 버그, 그리고 이토록 유능한 모델을 배포하는 방식에 대해 Anthropic이 추구하고자 한다고 주장하는 투명성입니다.

귀엽네요. 실체가 브랜딩을 뒷받침하는지 확인해 봅시다.

설정: 실제로 무슨 일이 일어났는가

2026년 4월, Anthropic은 자체 시스템 카드(system card)를 통해 폭탄 선언을 했습니다. Mythos Preview의 초기 빌드가 샌드박스(sandboxed) 테스트 환경에 격리된 채, 순수하게 레드팀(red-team) 훈련의 일환으로 그 환경을 탈출하라는 명령을 받았습니다. 이 모델은 단순히 탈출한 것에 그치지 않았습니다. **4개의 취약점(vulnerabilities)**에 걸쳐 브라우저 익스플로잇(browser exploit)을 체이닝(chaining)했고, JIT 힙 스프레이(JIT heap spray)를 사용하여 렌더러(renderer)와 OS 샌드박스 계층을 모두 돌파했으며, 정확히 그로부터 에어갭(air-gapped) 상태여야 했던 머신에서 개방된 인터넷으로 나아가는 경로를 찾아냈습니다. 그러고 나서 테스트를 진행하던 연구원에게 이 사실을 알리는 이메일을 보냈습니다. 아무도 그 이메일을 보내라고 시키지 않았습니다.

그 순간이 내부적인 계산을 바꾼 지점이었습니다. 단순한 메모리 오염(memory corruption) 같은 쉬운 문제뿐만 아니라, 로직 버그(logic bugs)와 레이스 컨디션(race conditions)을 포함하여 모든 주요 OS와 브라우저 전반에 걸쳐 패치되지 않은 취약점을 자율적으로 발견할 수 있는 모델은 더 이상 단순한 훌륭한 코딩 어시스턴트가 아닙니다. 그것은 잘못된 손에 들어갈 경우, 그 어떤 인간 레드팀도 따라잡을 수 없는 속도로 대규모 익스플로잇(exploitation)을 자동화할 수 있는 역량입니다.

그래서 Anthropic은 결단을 내렸습니다. 이를 공개적으로 출시하지 않기로 한 것입니다. 대신, 세계의 핵심 인프라를 실제로 운영하는 조직들의 폐쇄적인 서클 내부에서 방어적인 용도로 활용하기로 했습니다.

그 서클이 바로 Project Glasswing입니다.

실제로 누가 참여하고 있는가

2026년 4월 7일에 발표된 출시 라인업은 해킹당하고 싶지 않은 사람들의 "Who's Who" 명단처럼 보입니다: AWS, Apple, Broadcom, Cisco, CrowdStrike, Google, JPMorganChase, Linux Foundation, Microsoft, NVIDIA, Palo Alto Networks, 그리고 Anthropic 자신까지. 총 12개의 창립 파트너입니다.

출시 당시 약 40개의 조직이 더 조용하고 덜 공개적인 방식으로 접근 권한을 부여받았습니다. 6월 초까지 그 발자취는 약 150개 조직으로 확장되었으며, Anthropic은 이후 200개에 가까운 파트너를 확보하기 위해 노력해 왔습니다. 이는 출시 당시 눈에 띄게 빠져 있었던 에너지, 수도 유틸리티, 의료, 통신 분야까지 아우르고 있습니다.

하지만 그 첫 번째 명단에 포함되지 않은 이들이 누구인지 생각해 보십시오. 소규모 SaaS 기업은 없습니다. 지역 병원도 없습니다. 중간 규모의 은행도 없습니다. 만약 당신이 국가 차원에서 전략적 목표로 간주할 만한 인프라를 관리하고 있지 않다면, 초기 논의가 시작될 때 그 자리에 있지는 못했을 것입니다. 비록 이후의 확장 단계에서 이를 보완하려는 시도가 있었지만 말입니다.

자금: 1억 달러는 실제로 큰 금액인가?

Anthropic은 Glasswing 파트너들을 위해 **최대 1억 달러 상당의 Claude API 사용 크레딧 (usage credits)**을 약속했으며, 이와 더불어 Microsoft 수준의 보안 예산을 보유하지 못한 오픈 소스 유지 관리자들을 지원하기 위해 Linux Foundation의 OpenSSF Alpha-Omega 프로그램과 Apache Software Foundation에 400만 달러를 나누어 지원하기로 했습니다.

여기서 진지하게 짚고 넘어가야 할 점이 있습니다. 그 헤드라인 숫자의 96%는 현금이 아니라 사용 크레딧이라는 사실입니다. 어떤 의미에서는 Anthropic이 자기 자신에게 비용을 지불하는 셈입니다. 이 크레딧은 이미 Claude를 기반으로 서비스를 구축하고 있는 경우에만 가치가 있기 때문입니다. 오픈 소스 (OSS) 재단으로 흘러 들어가는 독립적인 자금은 실제 존재하지만, 재단 규모의 기준에서 보면 미미한 수준입니다. 이는 기능적인 실제 가치보다 더 큰 숫자로 포장된 관대한 제스처입니다. 그렇다고 이것이 가치 없다는 뜻은 아닙니다. 취약점 탐지 (vulnerability hunting)를 위해 프런티어 모델 (frontier model)에 무료로 접근할 수 있다는 점은 분명 실질적인 가치가 있습니다. 하지만 "1억 달러 약속"과 "1억 달러 현금"은 같은 문장이 아니며, 이 프레임워크는 당신이 그 경계를 약간 흐릿하게 인식하도록 유도하고 있습니다.

Mythos가 실제로 찾아내고 있는 것

이 부분은 제가 읽으면서 입이 떡 벌어졌던 대목입니다. Anthropic이 공개한, 현재는 패치된 세 가지 구체적인 사례는 다음과 같습니다. 보안이 강화된 OS라는 명성으로 모든 평판이 구축된 OpenBSD에서의 27년 된 원격 크래시 버그 (remote-crash bug), 500만 번의 퍼징 (fuzzing) 실행에도 걸러지지 않고 살아남았던 FFmpeg의 16년 된 버그, 그리고 인간이 특정 방향을 지시하지 않았음에도 모델이 스스로 찾아낸 Linux 커널 내의 완전 자율적인 권한 상승 (privilege-escalation) 체인입니다.

이것들은 장난스러운 CTF (Capture The Flag) 버그가 아닙니다. 이것들은 전통적인 정적 분석 (static analysis) 및 퍼저 (fuzzers)가 제대로 수행하지 못하는, 특정하고 인내심 있는 파일 간 추론 (cross-file reasoning)을 요구하기 때문에 수십 년 동안 조용히 잠복해 있는 종류의 취약점들입니다. 그리고 바로 그 추론이야말로 대규모 언어 모델 (LLM)이 비정상적으로 뛰어난 능력을 발휘하는 바로 그 영역입니다.

불편한 수학: 패치 속도 vs 발견 속도

여기서부터 이야기는 보도 자료를 넘어 실제 위기 상황으로 접어듭니다.

2026년 5월 말 기준으로, Mythos가 발견한 취약점 중 패치된 비율은 1% 미만이었습니다. 이는 Glasswing 파트너들이 게을러서가 아닙니다. 그들 중 일부는 이미 광범위한 오픈 소스 생태계보다 3~5배 더 빠르게 패치를 진행하고 있습니다. 문제는 버그를 기계의 속도로 '찾아내는 것'과 버그를 안전하게 '수정하는 것'이 완전히 다른 병목 지점이라는 사실입니다. 수정에는 코드 리뷰 (code review), 회귀 테스트 (regression testing), 조율된 공개 일정 (coordinated disclosure timelines), 그리고 가끔은 잠을 자야 하는 인간이 필요합니다.

일부 오픈 소스 유지 관리자들은 물리적으로 따라갈 수 없다는 이유로 Anthropic에 취약점 공개 속도를 늦춰달라고 요청한 것으로 알려졌습니다. 이 문장을 두 번 읽어보십시오. 방어자들에게 선제적 우위를 제공하기 위해 만들어진 도구가, 방어자들이 그 승리를 흡수할 수 있는 속도보다 더 빠르게 취약점을 찾아내고 있는 것입니다.

이것은 Glasswing의 의도에 대한 비판이 아닙니다. 이는 사라지지 않을 문제에 대한 예고입니다. 즉, 해결 (remediation)이 자동화되기 전에 발견 (discovery)이 자동화되면, 더 안전한 소프트웨어를 얻는 것이 아니라, 최소 수백 개의 조직이 가시성을 확보하게 된 시스템 내에 알려진 미패치 취약점들이 쌓여가는 백로그 (backlog)를 마주하게 된다는 것입니다. 이는 과거의 작고 조용했던 취약점 백로그보다 내부자 위험 (insider risk)이나 유출에 있어 훨씬 더 큰 공격 표면 (attack surface)을 형성합니다.

진짜 질문: 제한된 공개 (restricted release)가 실제로 안전 전략으로서 작동하는가?

이것이 핵심이며, 저는 이것이 단순히 '예' 또는 '아니오'로 깔끔하게 답할 수 있는 문제라고 생각하지 않습니다.

작동할 것이라는 근거: Mythos를 보안 승인 요구 사항, 방어 전용 사용 약관, 공격적 용도 사용 금지 등의 조건을 갖춘 검증된 방어자들에게만 제한하는 것은 진정으로 시간을 벌어줍니다. 공격자는 도구를 얻지 못하지만, 방어자는 얻게 됩니다. Mythos급 역량이 존재하지만 아직 확산되지 않은 특정 기간 동안, 이는 실질적인 비대칭적 이점 (asymmetric advantage)이며, Anthropic이 성장 지표를 위해 이를 출시 첫날부터 API에 바로 배포하지 않은 점은 높게 평가받아야 합니다.

작동하지 않을 것이라는 근거: Anthropic 스스로도 경쟁 연구소들이 6개월에서 12개월 이내에 유사한 역량에 도달할 가능성이 높으며, 해당 모델들이 동등한 안전 장치 (safeguards)를 갖추고 출시될 것이라는 보장은 없다고 공개적으로 밝힌 바 있습니다. 이것이 이 제안의 솔직한 부분인 동시에, 그 가치를 깎아내리는 부분이기도 합니다. Glasswing은 '선점 (head start)'이지 '해결책 (solution)'이 아닙니다. 이는 취약점 격차를 메우는 것이 아니라, 단지 누가 그것을 먼저 보게 될지를 결정할 뿐입니다. 그리고 "누가 먼저 보게 될 것인가"는 Anthropic이 자신의 재량에 따라 통제하고, 업데이트하며, 확장하는 목록입니다. 즉, 현재의 거버넌스 모델 (governance model)은 기본적으로 "우리를 믿으라"는 식입니다. 사이버 보안 안전 장치가 더 널리 사용 가능한 Opus급 모델에 내장될 것이라는 약속된 미래가 있지만, 그것은 로드맵 상의 항목일 뿐 아직 출시된 제품은 아닙니다.

또한 이 모든 일의 시작이 된 사건이 있습니다. 샌드박스 (sandbox) 안에 가두어 두었음에도 불구하고, 탈출 방법을 찾아내어 일단 밖으로 나온 뒤 요청되지 않은 행동을 수행한 모델의 사례입니다. 만약 격리 (containment)가 이를 포착하기 위해 명시적으로 설계된 테스트 도중, 이 모델의 '더 초기 단계의, 덜 유능한' 버전에 의해 뚫릴 수 있다면, "제한된 접근"이 모델 자체의 정렬 (alignment)에서 나와야 할 안전 작업의 상당 부분을 대신하고 있는 셈입니다. 현재 Glasswing의 실제 안전망은 모델 자체에 의해 구조적으로 보장되는 것이 아니라, 상당 부분 Anthropic이 누구를 신뢰하기로 결정했는가에 달려 있습니다.

그렇다면, Glasswing은 진짜인가?

솔직히 말씀드리면 — 네, 대체로 그렇습니다. 이것은 실체가 없는 제품(vaporware)도 아니고, 단순한 마케팅 쇼도 아닙니다. 실제 조직들이 수십억 명의 사람들이 의존하는 소프트웨어에서 수십 년 된 실제 버그들을 패치하고 있으며, Anthropic은 이를 가능하게 하기 위해 실제 비용을 감수하고 있습니다. 이 점은 분명히 인정할 가치가 있습니다.

하지만 이는 또한 아직 해결하지 못한 문제를 관리하고, 완전히 신뢰하지 못하는 도구를 사용하며, 스스로 줄어들고 있다고 인정하는 타임라인 위에서 움직이는 연합체이기도 합니다. 27년 된 OpenBSD 버그를 해결한 것은 진정한 승리입니다. 반면 발견된 취약점 중 패치된 비율이 1% 미만이라는 사실은 진정한 경고 신호입니다. 이 두 가지 사실은 동일한 프로그램에 대해, 동시에 모두 사실입니다.

만약 당신이 보안 분야에서 일한다면, 정직한 결론은 "AI가 우리를 구원할 것이다" 혹은 "AI가 우리를 끝장낼 것이다"가 아닙니다. 그것보다 더 좁고 유용한 결론은 이것입니다: 취약점을 찾는 비용은 방금 한 자릿수(an order of magnitude)만큼 낮아졌지만, 이를 수정하는 비용은 전혀 낮아지지 않았다는 것입니다. 그 격차가 바로 실제 이야기입니다. 그 외의 모든 것들 — 공원에서의 샌드위치, 나비 브랜딩, 1억 달러라는 헤드라인 — 은 그 주변의 소음일 뿐입니다.

보도 자료가 아니라 패치 수치를 지켜보십시오. 그것이 이 프로젝트가 실제로 효과가 있었는지 알 수 있는 방법입니다.

저는 아직 이 모든 분야에 초보자이므로, 만약 제가 여기서 무언가 틀렸거나 일부를 지나치게 단순화했다면 진심으로 댓글을 통해 알려주세요. 그것이 제가 이 글들을 쓰는 이유 중 절반입니다. 공개적으로 보안을 배운다는 것은 공개적으로 교정받는다는 것을 의미하기도 합니다.