개요
Anthropic이 지난 달 출범한 Project Glasswing의 첫 번째 성과 보고서가 공개됐다. Claude Mythos Preview를 활용해 50개 파트너사, 그리고 Anthropic 자체적으로 1,000개 이상의 오픈소스 프로젝트를 스캔한 결과 한 달 만에 고위험 취약점 1만 개 이상을 발견했다. 취약점을 찾는 속도는 10배 이상 빨라졌지만, 이제 진짜 문제는 그것을 수정하는 속도다.
핵심 요약
- 10,000+ 고위험·치명적 취약점 발견 (파트너사 합산, 한 달 만)
- 오픈소스 프로젝트 스캔: 6,202개 고위험 취약점 표본 검증(1,752개) 시 90.6%(1,587개) 진양성 확인
- Mozilla Firefox 150에서 271개 취약점 발견 (Firefox 148 대비 10배 이상)
- wolfSSL에서 인증서 위조 가능 제로데이 취약점 발견 및 패치 완료
- 병목은 탐지가 아닌 패치: 고위험 취약점 패치에 평균 2주 소요
본문
글래스윙이란
Project Glasswing은 Anthropic이 2026년 4월 발표한 사이버 보안 협력 프로그램이다. 인터넷 인프라를 지탱하는 핵심 소프트웨어를 AI로 스캔해, AI가 공격 도구로 전환되기 전에 방어 측이 먼저 취약점을 발견하고 패치하는 것이 목표다. 현재 약 50개 파트너가 참여 중이며 Cloudflare, Mozilla, Palo Alto Networks, Oracle, Microsoft가 포함돼 있다.
탐지 성과: 수치로 보는 결과
파트너사 성과
Cloudflare는 자사 핵심 시스템에서 2,000개의 버그를 발견했고 이 중 400개가 고위험 이상이었다. 오탐지율은 “인간 테스터보다 낫다"는 평가다. Mozilla는 Firefox 150 개발 과정에서 271개 취약점을 찾아 수정했다. 이전 버전(Firefox 148, Claude Opus 4.6 사용)보다 10배 이상 많은 수치다.
UK AI Security Institute는 Mythos Preview가 자신들의 사이버 레인지 두 개를 모두 엔드투엔드로 통과한 최초의 모델이라고 발표했다. XBOW는 웹 익스플로잇 벤치마크에서 “기존 모든 모델 대비 유의미한 발전"이라고 평가했다.
오픈소스 스캔
Anthropic은 지난 몇 달간 자체적으로 1,000개 이상의 오픈소스 프로젝트를 스캔했다. 총 23,019개 잠재 취약점 중 6,202개가 고위험 이상으로 분류됐다. 이 중 1,752개는 외부 보안 전문업체 6곳이 검증했으며 결과는 다음과 같다.
- 실제 취약점(진양성) 비율: 90.6% (1,587개)
- 고위험 이상으로 확인된 비율: 62.4% (1,094개)
- 현재까지 패치 완료: 75개, 공개 보안 권고문 발행: 65개
wolfSSL 사례: 인증서 위조 취약점
Mythos Preview가 발견한 가장 주목할 만한 사례 중 하나는 wolfSSL 라이브러리의 취약점이다. wolfSSL은 수십억 개 기기에 탑재된 오픈소스 암호화 라이브러리다. Mythos Preview는 공격자가 은행이나 이메일 서비스 가짜 웹사이트를 완벽하게 정상 인증서처럼 보이도록 위조할 수 있는 익스플로잇을 직접 구성해냈다. 해당 취약점(CVE-2026-5194)은 패치가 완료됐으며, 전체 기술 분석은 수 주 내 공개 예정이다.
새로운 병목: 패치
글래스윙이 드러낸 더 중요한 시사점은 보안의 새로운 병목이 어디인가다. 과거엔 취약점을 찾는 것 자체가 느린 과정이었다. 이제는 찾는 것은 쉽고, 검증·보고·패치 배포가 느리다.
고위험 취약점 하나가 패치되기까지 평균 2주가 걸린다. 오픈소스 메인테이너들은 AI가 생성한 저품질 버그 리포트 쇄도로 이미 과부하 상태다. 일부는 Anthropic에 “공개 속도를 늦춰달라"고 요청하기도 했다. Palo Alto Networks의 최신 릴리스에는 평소보다 5배 이상 많은 패치가 포함됐고, Microsoft도 “패치 화요일 규모가 당분간 계속 커질 것"이라고 발표했다.
Anthropic은 오픈소스 취약점 공개 현황을 실시간으로 볼 수 있는 대시보드를 운영 중이다.
실무자가 볼 핵심 포인트
- 방어자 우선 전략: Mythos Preview급 AI는 조만간 더 폭넓게 배포된다. 공격자도 동일한 도구를 쓸 수 있다. 지금 패치 역량을 키우지 않으면 역전된다.
- 오탐지율 관리: Cloudflare 기준 오탐지율이 인간보다 낮다. AI 보안 스캔 도입 시 검증 파이프라인 구축이 선결 과제.
- 오픈소스 의존성 점검: 인터넷 인프라를 지탱하는 오픈소스 라이브러리(wolfSSL 등)에도 제로데이가 있었다. 의존성 추적과 자동 업데이트 체계가 중요하다.
- 디스클로저 타임라인: Anthropic의 90일 공개 정책 기준, 현재 발견된 취약점 상당수가 곧 공개된다. 관련 소프트웨어 패치를 빠르게 모니터링해야 한다.
- 패치 용량 확보: 탐지가 빨라질수록 패치 리소스가 더 필요하다. 조직 내 보안 패치 전담 인력·프로세스 확충을 고려할 시점.