에이전트 시대가 앞당겨졌습니다: 방심하지 마십시오

2026년에는 소프트웨어 개발 및 보안 분야의 이러한 급격한 변화가 일상처럼 느껴질 수 있지만, Anthropic이 발표한 역대 "가장 위험한" AI 코딩 모델인 Claude Mythos의 등장은 모든 보안 리더가 보안 프로그램을 접근하는 방식, 특히 레거시 시스템의 패치 관리 방식에 있어 영구적이고 근본적인 변화를 의미합니다.

대부분의 기업은 여전히 사람이 작성하던 코드에서 AI 보조 개발 방식으로 전환하는 과정에 있으며, 새로운 프로세스를 도입하고, AI 코파일럿이 생성한 코드를 검토하는 법을 배우고, 새로운 기술을 습득하며, 적절한 기업용 사용을 위한 새로운 가드레일을 구축하고 있습니다.

하지만 AI 기반 소프트웨어 개발의 다음 단계는 기다려주지 않았습니다.

이번 주, Anthropic은 새로운 프론티어 AI 모델인 Claude Mythos Preview에 대한 상세한 기술 평가를 발표했습니다. 이 모델의 기능은 모든 보안 및 엔지니어링 리더를 경악하게 만들기에 충분합니다. 이 모델은 초기 프롬프트 이후 인간의 개입 없이도 모든 주요 운영 체제와 브라우저에서 제로데이 취약점을 자율적으로 식별하고 악용할 수 있습니다. 보안 교육을 전혀 받지 않은 엔지니어들이 밤새 이 모델을 구동한 결과, 아침에 완벽하게 작동하는 익스플로잇을 확인했습니다.

이러한 발견은 이론적인 수준을 넘어 매우 충격적입니다. Mythos Preview는 세계에서 가장 보안이 강력한 운영 체제 중 하나인 OpenBSD에서 27년 된 취약점을 찾아냈으며, 이를 통해 공격자가 단순히 연결하는 것만으로도 원격에서 기기를 충돌시킬 수 있었습니다. 또한 자동화된 테스트 도구로 500만 번이나 검사했음에도 발견되지 않았던 FFmpeg의 16년 된 결함을 찾아냈습니다. 심지어 여러 Linux 커널 취약점을 자율적으로 연결하여 기기 전체를 완전히 장악하기도 했습니다. 이는 인간의 도움을 받은 발견이 아니었으며, 초기 프롬프트 이후 실제 전문가의 개입은 전혀 없었습니다.

이에 대응하여 Anthropic은 AWS, Microsoft, Google, Cisco, CrowdStrike, Palo Alto Networks, JPMorgan Chase, NVIDIA, Apple, Broadcom, Linux Foundation이 참여하는 업계 연합인 Project Glasswing을 발표했습니다. 이들 모두가 내린 공통된 결론은 기존의 소프트웨어 보안 방식으로는 더 이상 충분하지 않으며, 지금 당장 행동에 나서야 한다는 것입니다. CrowdStrike의 CTO가 언급했듯이, 취약점이 발견된 후 악용되기까지의 시간 간격이 붕괴되었으며, 과거에는 몇 달이 걸리던 일이 이제는 몇 분 만에 발생합니다.

세 가지 문제가 더욱 심각해졌습니다

AI 개발 전환의 모든 단계에서 기업은 동일한 세 가지 과제에 직면합니다. Mythos Preview는 이 세 가지 과제를 이전에는 불가능했던 속도로 동시에 심화시킵니다.

AI가 팀의 검토 속도보다 더 빠르게 코드를 생성하고 수정할 수 있게 되면서 안전하게 개발하는 법을 배우는 것이 더욱 어려워졌습니다. AI가 생성한 코드를 관리하는 데 필요한 기술은 수동으로 코드를 작성할 때와 다르며, 이러한 기술은 도구의 발전 속도에 발맞춰야 합니다.

자율 에이전트가 인간의 개입 없이 코드를 작성하고 수정할 때 AI가 무엇을 건드릴 수 있고 무엇을 건드릴 수 없는지 관리하는 것이 중요해졌습니다. 일반적으로 우리는 여전히 잘못된 질문을 던지고 있습니다. "우리 개발자들이 무엇을 만들었는가?"보다는 "우리 AI가 무엇을 만들었으며, 그것이 허용된 작업인가?"라는 질문이 더 중요합니다.

어떤 AI가 어디에서 누구를 위해 무엇을 했는지 추적하는 것은 이제 규정 준수 및 사고 대응의 필수 요소입니다. 에이전트 파이프라인에서 문제가 발생하면 조직은 즉시 그 질문에 답할 수 있어야 합니다. 하지만 대부분은 그렇지 못합니다.

전문가로서 우리는 오래전부터 이 기술이 결국 위협 행위자들에 의해 악용되어 그들의 공격 능력을 비약적으로 향상시킬 것이라고 예측했습니다. 우리는 이미 사이버 범죄자들이 대부분의 기업 보안 팀보다 공격 측면에서 확실한 우위를 점하고 있다는 것을 알고 있으며, Mythos와 같은 도구는 그들의 사악한 프로세스를 더욱 간소화할 것입니다.

우리는 사이버 공격이 대중화된 시대에 살고 있으며, 과거에는 엘리트 위협 행위자들만이 가능했던 수준의 파괴를 이제는 상대적으로 초보적인 수준의 공격자도 수행할 수 있게 되었습니다. 놀랄 일은 아니지만, 여전히 많은 이들이 제대로 대비하지 못하고 있습니다. 신속하고 우선순위에 따른 패치 적용은 필수적이지만, 이러한 관리는 사용 중인 모든 도구와 종속성에 대한 추적 가능성이 확보될 때만 효과를 발휘합니다.

이것은 업계 차원의 문제입니다

Project Glasswing이 중요한 이유는 단순히 Mythos Preview가 드러낸 기능 때문만이 아니라, 그 대응의 규모와 영향력 때문입니다. 하이퍼스케일러, 보안 공급업체, 금융 기관, 오픈소스 재단에 걸친 연합이 동일한 결론에 도달했으며, 이는 SCW의 철학과 직결되는 익숙한 이야기입니다. AI 소프트웨어 거버넌스는 결코 '있으면 좋은' 선택 사항이 아닙니다. 이는 AI 기반 개발을 확장하는 모든 조직이 다음 사고가 발생하기 전에 반드시 갖춰야 할 필수적인 안전장치입니다. 여전히 과거의 수동적인 대응 방식에 머물러 있는 조직은 최악의 방식으로 무너질 것입니다.

제한이 아닌 활성화

이러한 결과를 접했을 때 드는 유혹은 브레이크를 밟고, AI 도입을 늦추고, 도구를 제한하고, 통제를 강화하는 것입니다. 하지만 그것은 잘못된 대응이며, Glasswing 파트너들이 권장하는 방향도 아닙니다.

이러한 전환기를 성공적으로 헤쳐 나갈 조직은 처음부터 거버넌스를 갖추고 AI 기반 개발을 도입하는 곳입니다. 즉, 도구가 발전함에 따라 개발자를 교육하고, AI 에이전트가 리포지토리에 접근할 수 있는 범위를 제한하며, 무엇보다 수백만 개의 토큰을 낭비하지 않으면서도 규정 준수 및 사고 대응 팀이 요구하는 추적성을 구축해야 합니다.

지금 바로 행동해야 할 때입니다

Anthropic은 방어자들에게 오늘 당장 사용 가능한 도구부터 시작하라고 조언합니다. 다음 모델을 기다리지 마십시오. 프로세스, 스캐폴드, 거버넌스 프레임워크를 조기에 구축하는 가치는 빠르게 복리로 커집니다.

Secure Code Warrior는 에이전트 시대가 야기하는 세 가지 기업적 문제의 중심에 있습니다. 조직이 AI 기반 개발을 확장하고 있다면, AI 소프트웨어 거버넌스가 필요한지 여부가 아니라 이미 갖추고 있는지 자문해야 합니다.

이것이 귀하에게 의미하는 바

CISO를 위한 제언

취약점 공개 정책, 패치 주기, 사고 대응 플레이북은 익스플로잇 개발에 몇 주가 걸리던 시대에 맞춰 설계되었습니다. 이제 그런 시대는 지났습니다. 지금은 개발 환경 전반에 걸쳐 AI 거버넌스 가시성을 확보하고, 어떤 AI 에이전트가 코드베이스에 접근하는지, 무엇을 생성하는지, 그리고 그것이 귀사의 위험 임계값을 충족하는지 맥락적으로 파악해야 할 때입니다. 오늘 이 질문에 답할 수 없다면, 그것이 바로 가장 먼저 해결해야 할 격차입니다.

CTO를 위한 제언

엔지니어링 팀은 이미 AI를 사용하여 더 빠르게 제품을 출시하고 있습니다. 이제 관건은 이를 안전하게 대규모로 수행할 수 있는 가드레일을 갖추었느냐입니다. 리포지토리 내 AI 에이전트의 접근 권한을 제어하고 AI 기여에 대한 추적성을 유지하는 것은 이제 단순한 보안 고려 사항을 넘어 기술 아키텍처의 핵심 결정 사항입니다. 지금 이 기반을 구축하는 조직만이 자신 있게 AI 개발을 확장할 수 있을 것입니다.

엔지니어링 리더를 위한 제언

개발자들은 직접 설계하지 않았고 완전히 예측할 수도 없는 AI 도구를 사용하여 더 빠르게 작업하라는 요구를 받고 있습니다. AI가 생성한 코드를 검토하는 데 필요한 기술은 수동으로 코드를 작성하는 것과는 근본적으로 다르며, 대부분의 팀은 아직 이를 개발할 기회를 갖지 못했습니다. 이러한 역량 격차를 해소하는 것이야말로 AI 도입을 더 안전하고 지속 가능하게 만드는 길입니다.

CEO 및 이사회를 위한 제언

Project Glasswing은 헤드라인 뉴스일 뿐만 아니라 우리가 무시할 수 없는 신호입니다. AWS, Microsoft, Google, Cisco, CrowdStrike, JPMorganChase가 AI 기반 보안 위험에 대해 긴급하고 조직적인 대응을 약속하고 Anthropic이 1억 달러를 투자하는 것은 시장이 보내는 강력한 메시지입니다. AI 기반 소프트웨어 개발은 취약점 발견 및 악용 속도를 가속화하고 있습니다. 이제 프로세스에 대한 거버넌스는 이사회 차원의 리스크 관리 문제입니다. 이를 조기에 인식하는 조직은 AI 개발을 확장하고 규제 기관, 고객, 투자자에게 책임 있는 운영을 입증하는 데 유리한 위치를 점할 것입니다.