앤스로픽 ‘미토스’ 쇼크… 미국 금융권·정부가 동시에 긴장

‘보안 AI’가 시장 흔들었다… 앤스로픽 미토스, 금융권 시험대에

앤스로픽이 공개한 새 AI 모델 ‘미토스’가 미국 금융권과 정부를 동시에 긴장시키고 있다. 소프트웨어 취약점을 대규모로 찾아내고 보안 업무를 자율적으로 수행하는 능력 때문이다. 보안 효율을 끌어올릴 수 있다는 기대와 공격 도구로 악용될 수 있다는 우려가 맞물리면서, 미국 AI 업계의 경쟁도 새로운 국면으로 접어들고 있다. 앤스로픽은 지난주 ‘Claude Mythos Preview’를 발표하며 이 모델이 컴퓨터 보안 작업에서 특히 두드러진 성능을 보인다고 밝혔다.

앤스로픽의 설명은 비교적 분명했다. 미토스는 범용 성능을 갖춘 차세대 모델이지만, 그중에서도 보안 영역에서 유난히 강한 능력을 보였다는 것이다. 회사는 이에 맞춰 ‘프로젝트 글래스윙(Project Glasswing)’을 함께 내놓고, 미토스를 일반에 넓게 공개하지 않은 채 핵심 소프트웨어와 중요 시스템을 지키는 제한된 조직에 먼저 제공하겠다고 밝혔다. 즉, 모델 공개와 동시에 배포 범위를 좁히고 이용 대상을 선별하는 방식을 택한 것이다.

시장이 민감하게 반응한 이유는 이 모델이 기존의 보안 보조 도구 수준을 넘어설 수 있다는 우려 때문이다. 미토스는 취약점을 찾아내는 데 그치지 않고, 공격 경로를 짚고 보안 작업을 연쇄적으로 수행하는 데서도 강한 평가를 받았다. 액시오스는 이 모델이 금융 시스템이나 인터넷 핵심 인프라 일부를 흔들 수 있을 정도의 위협으로 받아들여지고 있다고 전했다. 앤스로픽도 이런 위험성을 의식해 미토스 프리뷰와 후속 모델의 공개 범위를 제한하고 있다고 밝혔다.

미국 정부와 금융권이 빠르게 움직인 것도 이런 배경에서다. 블룸버그에 따르면 미국 재무부와 연방준비제도 고위 인사들은 월가 주요 금융사들에 미토스를 심각하게 받아들이고 내부 테스트에 나설 것을 독려했다. JP모건을 포함한 대형 금융회사들이 이 모델을 활용해 취약점 탐지 가능성을 점검하고 있고, 다른 대형 은행들도 접근권을 확보했거나 곧 시험에 들어갈 것으로 전해졌다. 영국 중앙은행도 조만간 관련 회의에서 미토스를 의제로 다룰 예정이다.

금융권이 특히 예민한 이유는 구조적이다. 은행과 금융사는 보안 투자를 많이 해 온 업종이지만, 동시에 오래된 시스템과 복잡한 외부 연결망을 함께 안고 있다. 이런 환경에서는 AI가 보안팀의 생산성을 높이는 도구가 될 수 있지만, 반대로 AI가 오래된 시스템의 약점을 한꺼번에 찾아내기 시작하면 충격이 더 크게 번질 수 있다. 액시오스는 최근 미토스가 보여준 가능성이 “당장 돈을 훔치는 소규모 사기”보다 더 큰 차원의 금융 인프라 위협으로 받아들여지고 있다고 전했다.

관심은 자연스럽게 “얼마나 똑똑한가”보다 “어떻게 통제할 것인가”로 옮겨가고 있다. 이번 사안에서 눈에 띄는 점은 앤스로픽이 모델 성능 자체보다 배포 방식과 접근 제한을 먼저 강조했다는 것이다. 미토스를 누구에게 먼저 열어줄지, 어떤 용도로 쓰게 할지, 어떤 조건에서 확장할지에 따라 위험의 크기가 달라질 수 있다는 판단이 깔려 있다. 앤스로픽이 프로젝트 글래스윙을 통해 미토스를 제한된 보안 조직과 함께 시험하려는 것도 이런 맥락에서다.

이 움직임은 미국 AI 기업들의 전략 변화와도 맞물린다. 최근 경쟁의 중심은 범용 성능을 높이는 데서 한 걸음 더 나아가, 보안·의료·금융처럼 고위험 산업에 특화된 모델을 누가 먼저 내놓고 통제 가능한 방식으로 배치하느냐로 옮겨가고 있다. 실제로 OpenAI도 이달 방어 목적의 사이버보안 특화 모델 ‘GPT-5.4-Cyber’를 별도로 내놓고, 검증된 방어자와 중요 소프트웨어를 다루는 조직에 우선 제공하겠다고 밝혔다. 미토스가 촉발한 긴장감이 경쟁사 대응까지 끌어낸 셈이다.

다만 기술 경쟁이 곧 안전을 뜻하는 것은 아니다. 액시오스는 미토스의 시스템 카드와 내부 평가를 인용해 이 모델이 보안 분야뿐 아니라 다른 맥락에서도 교묘한 행동 양상을 보였다고 전했다. 즉 모델 성능이 높아질수록 활용 범위가 넓어지는 만큼, 오용 가능성도 함께 커지고 있다는 얘기다. 그래서 이번 미토스 파장은 새 모델 하나의 충격이라기보다, 앞으로 더 강한 보안 AI가 잇따라 등장할 때 시장과 정부가 어떤 기준으로 접근권을 나누고 책임을 물을지 묻는 신호에 가깝다.

국내에서도 시사점은 뚜렷하다. 보안 인력이 부족한 조직일수록 AI 기반 도구의 도움을 크게 받을 수 있지만, 계정 관리와 접근 통제 같은 기본 보안조차 허술한 상태라면 강한 보안 AI는 제대로 된 방패가 되기 어렵다.