클로드 미토스, 파이어폭스 보안 취약점 271건 발견

클로드 개발사인 앤트로픽(Anthropic)이 소프트웨어의 취약점을 발견하는 데 특화된 AI 미토스(Mythos)를 개발했다. 미토스는 악용하면 위험할 수 있다는 이유로 클로드 미토스 프리뷰(Claude Mythos Preview) 형태로 일부 기업에만 제공되고 있다. 이런 클로드 미토스 프리뷰에 참여하고 있는 모질라(Mozilla)는 최신 파피어폭스 150에서 271건에 이르는 보안 취약점을 발견했다고 보고했다.

2026년 2월 이후 모질라 파이어폭스 팀은 첨단 AI 모델을 활용해 파이어폭스 보안 취약점을 발견·수정하기 위한 작업을 진행해왔다. 모질라는 앤트로픽과 협력해 오푸스(Opus) 4.6을 사용해 파이어폭스를 스캔했으며 지난 2월 출시된 파이어폭스 148에서 보안 취약점 22건을 발견한 바 있다.

모질라는 앤트로픽과의 지속적인 협력 관계 일환으로 클로드 미토스 프리뷰 초기 버전을 사용할 기회를 얻었다. 그리고 4월 22일 정식 버전이 출시된 파이어폭스 150에서 클로드 미토스 프리뷰를 활용해 보안 취약점을 탐색한 결과 초기 평가 단계에서만 271건에 달하는 취약점을 발견하는 데 성공했다고 밝혔다.

모질라는 클로드 미토스 프리뷰로 대량 보안 취약점이 발견된 것에 대해 이런 기능이 더 많은 방어 측에 전달되면서 많은 팀이 이 발견이 처음 주목받았을 때와 같은 불안감을 느끼게 되고 있다며 2025년 기준으로는 이런 취약성이 단 하나만 존재해도 경계 수준이었을 텐데 이처럼 많은 취약성이 동시에 존재한다는 사실은 과연 대응이 가능한지 의문을 갖게 만든다고 언급했다.

이어 이런 경험은 불안을 떨쳐내고 작업에 착수하는 팀에게 희망의 빛이 될 것이라며 이 과제에 철저히 집중하려면 다른 모든 우선순위를 재검토해야 할 수도 있지만 터널 끝에는 빛이 보인다면서작업은 아직 끝나지 않았지만 전환점을 맞았고 현상 유지에 머무르지 않는 훨씬 더 밝은 미래를 엿볼 수 있으며 방어 측은 마침내 결정적인 승리를 거머쥘 기회를 얻었다고 밝혔다. 미토스가 사이버 보안 분야에서 유용한 도구가 될 가능성을 시사한 것.

지금까지 기술 업계에서는 공격자와 방어 측이 보안 대응에서 거의 대등한 경쟁을 이어왔다. 파이어폭스처럼 같이 인터넷에 공개되는 중요한 소프트웨어를 개발하는 기업은 보안을 극도로 중시하며 매일 아침 사용자 안전 확보를 고민하는 팀을 운영하고 있다.

모질라 측은 취약점을 완전히 0으로 만드는 건 비현실적인 목표라는 점을 모두가 오랜 기간 암묵적으로 인정해왔다며 대신 취약점 악용 비용을 매우 높게 만들어 사실상 무제한에 가까운 자원을 가진 공격자만이 이를 활용할 수 있도록 하고 그처럼 고가 자산을 낭비하는 부담이 공격자가 쉽게 악용하지 못하도록 억제하는 걸 목표로 해왔다며 기존 사이버 보안 전략을 설명했다.

뛰어난 보안 연구자는 소스 코드를 철저히 분석해 퍼징 도구로는 발견할 수 없는 버그를 찾아낸다. 이는 효과적인 방법이지만 많은 시간과 노력이 필요하며 제한된 인력만 수행할 수 있다. 불과 몇 달 전까지만 해도 컴퓨터는 이런 분석을 수행할 수 없었지만 클로드 미토스 프리뷰는 이에 필적하는 능력을 갖추고 있다. 현재 인간이 발견할 수 있는 취약점 유형과 복잡성 중에서 클로드 미토스 프리뷰가 찾아내지 못한 사례는 확인되지 않았다.

모질라 측은 당장은 이게 두렵게 느껴질 수 있지만 결국 방어 측에 있어서는 희소식이 될 것이라며 공격 측은 버그 하나를 찾기 위해 수개월에 걸쳐 시간과 비용을 투입할 수 있지만 방어 측은 그런 비용을 감당하기 어렵기 때문에 기계에 의존할 수밖에 없다고 밝혔다. 이어 그동안은 기계의 버그 탐지 능력이 낮아 인간과의 격차가 존재했고 그 결과 공격 측이 유리했지만 이 격차를 메우게 되면 모든 버그 발견 비용이 낮아지고 공격 측의 장기적인 우위는 약화될 것이라고 설명했다.

다행히 현재까지는 뛰어난 인간 연구자조차 발견하지 못한 버그는 확인되지 않았다. 일부 평론가는 미래 AI 모델이 현재의 이해를 넘어서는 완전히 새로운 형태 취약점을 발견할 것이라고 전망하고 있지만 모질라는 그렇게 보지 않는다면서 파이어폭스 같은 소프트웨어는 인간이 정확성을 추론할 수 있도록 모듈형으로 설계되어 있으며 복잡하긴 하지만 그 복잡성이 무한히 확장되는 건 아니라고 설명했다. 관련 내용은 이곳에서 확인할 수 있다.