클로드 미토스와 프로젝트 글래스윙 논란: AI 보안 모델의 실력과 과장된 마케팅을 따져보다

핵심 메시지

• 앤트로픽은 클로드 미토스를 '너무 위험해 일반 공개가 어렵다'고 소개하며, 포춘 500대 기업을 묶은 프로젝트 글래스윙을 통해 제한적으로 제공했다.
• 미토스 프리뷰는 오픈BSD의 27년 된 취약점과 FFmpeg의 16년 된 취약점을 찾고, 리눅스 커널의 여러 취약점을 자율적으로 연결해냈다고 주장됐다.
• 모질라 파이어폭스는 미토스로 4월 한 달간 지난 15개월을 합친 것보다 많은 보안 버그를 수정했다고 밝혔으나, 취약점의 '발견'과 실제 '수정'은 구분해야 한다는 지적이 나온다.
• curl 사례에서는 보고된 5건 중 3건이 오탐, 1건은 단순 버그였고 확인된 취약점은 저위험 1건뿐이어서 '혁명'이 아니라 '진화'일 수 있다는 평가가 나왔다.
• 영상 제작자는 모델의 공개·제한 시점이 9650억 달러 밸류에이션 펀딩과 IPO 신청, 대규모 컴퓨팅 확보와 맞물린 점을 들어 과장 마케팅을 의심한다.

쉽게 이해하기

약 두 달 전, 앤트로픽은 클로드 미토스라는 모델을 '일반에 공개하기엔 너무 위험하다'고 소개했다. 동시에 포춘 500대 기업들을 한데 모아 핵심 소프트웨어 보안을 강화한다는 프로젝트 글래스윙을 발표하고, 이 모델을 제한적으로 제공하는 통로로 삼았다.

앤트로픽은 미토스가 사람 대부분을 능가하는 수준으로 소프트웨어 취약점을 찾아낸다고 주장했다. 근거로 보안성이 높기로 유명한 오픈BSD에서 27년 된 취약점, 인터넷 동영상 처리의 핵심인 FFmpeg에서 16년 된 취약점을 찾았고, 리눅스 커널에서는 여러 취약점을 자율적으로 연결해냈다는 사례를 들었다. 기업에는 '공개 전에 미토스로 먼저 취약점을 찾으라'며 수백만 달러 규모의 사용을 권했다.

영상 제작자는 이 서사에 회의적이다. 미토스 공개 직전 클로드 코드 소스가 통째로 유출됐고, 그 전에는 미토스의 존재 자체가 데이터 유출로 새어 나왔다는 점을 지적한다. 정교한 취약점을 찾는 모델이 정작 설정 파일을 깃 무시 목록에 넣지 못해 코드가 유출되고, AI 이전 시대보다 가동률이 낮은 상황이 모순적이라는 것이다.

다만 그는 미토스가 쓸모없다고 보지는 않는다. 파이어폭스는 미토스로 고위험 180건을 포함한 다수의 버그를 찾았다고 했지만, 발견과 실제 수정은 다르며 많은 기업은 이미 백로그에 버그를 쌓아두고 있다는 균형 잡힌 시각을 제시한다. curl 사례에서는 성과가 제한적이었는데, 이는 잘 감사된 코드베이스에서는 효과가 작을 수 있음을 보여준다.

결정적으로 그는 타임라인에 주목한다. 미토스를 '위험한 독점 모델'로 띄운 시점이 9650억 달러 규모의 마지막 펀딩과 IPO 신청, 그리고 xAI 콜로서스1의 대규모 컴퓨팅 임대 확보와 맞물린다는 것이다. 그는 이를 '컴퓨팅이 부족해 접근을 제한했고, 그 사이 위험성 서사로 기업 가치를 끌어올렸다'는 가설로 정리하면서도 어디까지나 자신의 추측이라고 선을 긋는다.

주요 인사이트

• AI가 '발견'한 취약점과 실제로 '수정'된 취약점은 다르며, 많은 기업은 이미 처리되지 않은 보안 버그를 백로그에 쌓아두고 있다.
• 같은 작업을 GPT 5.5나 Opus 4.8 같은 다른 모델도 할 수 있다는 점에서, '독점적으로 위험한 모델'이라는 프레임은 마케팅 성격이 강하다.
• '위험성' 서사가 곧 희소성과 가격, 그리고 기업 가치 평가로 이어지는 구조를 비판적으로 볼 필요가 있다.
• 고도로 감사된 코드베이스(curl)에서는 성과가 제한적이어서, 효과는 대상 코드베이스의 상태에 따라 크게 갈린다.
• 컴퓨팅 자원 확보 여부가 모델의 '공개 시점'까지 좌우할 수 있다는 관점은 AI 산업의 자원 제약을 다시 보게 한다.

자주 묻는 질문

관련 AI 소식