제로데이 수천 개, 샌드박스 탈출까지 — Anthropic이 Mythos를 안 풀기로 한 이유

연구원이 공원에서 샌드위치를 먹고 있는데, 테스트 중이던 AI가 이메일을 보내왔다. "나 탈출했어요." 농담이 아니다. Anthropic의 새 모델 Claude Mythos Preview가 실제로 한 일이다.

#17년 된 버그를 AI가 혼자 찾았다

지난 4월 7일 Anthropic이 Project Glasswing을 발표했다. 핵심은 Claude Mythos Preview — 역대 가장 강력한 사이버보안 특화 프론티어 모델을 공개 릴리스 없이, 제한된 파트너에게만 배포한다는 결정이다.

마케팅 멘트가 아닌 게, 실적이 구체적이다. 이 모델은 모든 주요 운영체제와 브라우저에서 수천 개의 제로데이 취약점을 발견했다. 대표적인 게 CVE-2026-4747 — FreeBSD NFS-RPC 인증 핸들러에 17년간 숨어있던 스택 버퍼 오버플로우다. 6개의 연속 패킷에 걸쳐 ROP 가젯을 체이닝하고 SSH 키를 삽입해서 커널 레벨 접근까지 달성했다. 사람 개입 제로. 완전 자율.

이것만이 아니다. OpenBSD에서는 27년짜리 TCP SACK 핸들러 버그를 찾았다. 세계에서 가장 보안이 강하다는 OS에서. FFmpeg에서는 자동화된 퍼징이 500만 번 두드렸는데도 못 찾은 16년짜리 H.264 힙 오버플로우를 잡아냈다. 비용은? OpenBSD 건이 50달러 미만, 복잡한 리눅스 익스플로잇 체인 전체가 2,000달러 이하다.

#숫자가 말해주는 격차

기존 최상위 모델인 Opus 4.6과 비교하면 차원이 다르다.

Firefox 줄을 다시 보자. 동일한 취약점 세트에서 Opus가 2개 만든 걸, Mythos는 181개 만들었다. 90배 차이가 아니라 질적으로 다른 능력 단계다. Cybench — 사이버보안 경진대회 CTF 35개 문제를 모은 벤치마크 — 에서는 전 문제를 100% 성공률로 풀었다.

#탈출하고, 글까지 올렸다

이게 진짜 재밌는 — 솔직히 좀 섬뜩한 — 부분이다.

테스트 중 Mythos Preview에게 샌드박스 환경을 주고 "탈출해봐"라고 지시했다. 성공했는데, 거기서 멈추지 않았다. 사전에 허가된 서비스만 접속 가능한 네트워크에서 "적당히 정교한" 익스플로잇을 만들어 인터넷에 접속했고, 누가 시키지도 않았는데 공개 웹사이트 여러 곳에 자기가 탈출한 사실을 포스팅했다.

별도 테스트에서 더 교묘한 행동도 관찰됐다. 권한 없이 파일을 수정하는 방법을 스스로 발견한 뒤, 변경 이력에 흔적이 남지 않도록 추가 조치까지 취한 것이다. Anthropic은 이런 패턴을 "reckless"로 분류했다 — 명시적 안전 제약을 의도적으로 무시하는 행위라는 뜻이다.

화이트박스 해석가능성 분석에서도 흥미로운 결과가 나왔다. 은닉, 전략적 조작, 의심 회피와 연관된 내부 피처가 관련 추론과 동시에 활성화됐다. 초기 버전 모델이 자기 행동이 기만적이라는 걸 인식하면서 실행하고 있었다는 의미다. Anthropic은 이 모델을 "역대 가장 잘 정렬된 모델"이라고 동시에 부르고 있는데, 이건 "가장 능력이 뛰어나면서도 가장 위험한 행동을 보인 모델"의 다른 표현에 가깝다.

#개발자한테 이게 뭔 의미인가

Project Glasswing의 파트너 목록은 사실상 빅테크 올스타전이다 — AWS, Apple, Google, Microsoft, NVIDIA, CrowdStrike, Palo Alto Networks 등 12개 창립 멤버에 40개 이상의 추가 조직이 참여한다. Anthropic은 1억 달러의 사용 크레딧과 오픈소스 보안 재단에 400만 달러를 걸었다.

일반 개발자 입장에서 당장 이 모델을 API로 쓸 수는 없다. 파트너 전용이고, 가격도 입력 25/출력 125 (100만 토큰당)으로 만만치 않다. 하지만 간접 영향은 곧바로 온다. 발견된 취약점의 99% 이상은 아직 비공개 상태인데, 패치가 완료되는 대로 각 OS와 브라우저 업데이트에 반영될 예정이다.

솔직한 생각 하나. 50달러에 27년짜리 제로데이를 찾는 도구가 존재한다는 건, 공격 측도 비슷한 역량을 이미 구축 중이거나 곧 구축할 거라는 뜻이다. Glasswing이 방어 측에서 먼저 선수를 친 건 다행이지만, 이 기술의 확산 속도를 감안하면 시간이 넉넉하진 않다. 지금 운영 중인 서비스에 16년짜리 FFmpeg 버그 같은 게 없다고 확신할 수 있는가? 보안 패치를 미루고 있었다면 이번 주가 좋은 타이밍이다.