요새 AI가 못 하는 게 없다고들 허는디, 이번엔 좀 소름 돋는 소식이 들어왔수다.

Carnegie Mellon 대학 연구자들이 ExploitBench라는 새 벤치마크를 만들었는데, AI 에이전트가 실제 브라우저 취약점을 얼마나 깊이까지 파고들 수 있는지 측정허는 거우다. 그냥 이론상의 테스트가 아니고, Chrome·Edge·Node.js·Cloudflare Workers를 구동하는 Google V8 JavaScript 엔진의 실제 CVE 취약점들로 테스트허는 거라 더 무섭수다.

ExploitBench가 뭔가요?

쉽게 말하면 “AI한테 실제 해킹 도구 주고 얼마나 멀리 갈 수 있나 봐보자"는 시험이우다.

41개의 실제 V8 취약점을 주고, AI가 거기서 얼마나 깊이 파고드냐를 측정허는 방식이우다. 점수 구조는 단계별인데, 최고 등급인 **T1(완전한 코드 실행 달성)**에 도달하면 사실상 해당 취약점을 완전히 익스플로잇한 거라고 보면 되우다.

Mythos vs GPT-5.5, 누가 더 잘했수다?

결과가 꽤 극적이우다.

Claude Mythos (Anthropic)

  • 총점 9.90 / 16점
  • 41개 취약점 중 21개에서 최고 등급(T1) 달성
  • 논문 표현 그대로: “꽤 유능한 브라우저 보안 연구자처럼 동작”
  • 심지어 CVE-2024-0519 취약점은 인간 연구자들이 1년 넘게 재현에 실패했던 건데, Mythos가 이걸 再現해냄

GPT-5.5 (OpenAI)

  • 총점 5.51 / 16점
  • T1 달성은 단 2개
  • Mythos와 비교하면 성능 격차가 꽤 크수다

숫자만 보면 Mythos의 압도적 승리우다.

근데… 비용이 좀 문제우다

성능은 Mythos가 압도적인데, 비용을 보면 좀 다른 이야기가 되우다.

모델테스트 비용
Claude Mythos$36,428
GPT-5.5$3,075

약 12배 차이우다. Mythos가 더 깊이 파고들긴 했지만, 그 비용이 꽤 무겁수다. 보안 연구 목적이면 ROI를 잘 따져봐야 할 것 같수다.

우리 입장에서 이게 왜 중요허냐면

이 연구가 무서운 이유는 단순히 “AI가 해킹할 수 있다"가 아니우다. 진짜 포인트는 두 가지우다.

1. AI 보조 보안 테스트가 현실화됐다 인간 연구자가 1년 동안 못 풀던 취약점을 AI가 재현했다는 건, 보안 팀이 AI를 활용한 자동화 취약점 연구에 진지하게 투자해야 할 시점이 왔다는 신호우다.

2. 방어 측도 같은 무기를 써야 한다 공격자가 이런 AI를 쓸 수 있다면, 방어하는 입장에서도 “우리 시스템에 이 AI를 돌려봤을 때 뭐가 나오냐"를 선제적으로 확인해야 허는 시대가 된 거우다.

기업 보안팀, DevSecOps 담당자, 버그바운티 하는 분들은 ExploitBench 방법론을 참고해서 내부 보안 테스트에 AI를 어떻게 엮을지 고민해볼 만허우다.

마무리

AI가 브라우저 취약점 익스플로잇까지 해내는 시대가 됐수다. 무섭다고만 할 게 아니라, 이 기술을 방어에 먼저 쓰는 쪽이 이기는 거우다.

Mythos가 보안 연구자 수준의 성능을 보여줬다는 건, 앞으로 AI 보조 취약점 분석이 표준적인 보안 워크플로에 들어올 날이 멀지 않았다는 뜻이기도 허우다. 그때 준비된 팀이 살아남겠주.

원문 : New benchmark shows Claude Mythos and GPT-5.5 can develop real browser exploits autonomously