Anthropic Claude Mythos Preview 공개 — "사이버 보안 특화" Project Glasswing 가동

핵심 요약

Anthropic이 2026년 4월 23일 신규 프런티어 모델 Claude Mythos Preview를 공개했다. 일반 코드·언어 능력은 Opus 4.7과 비슷하거나 약간 앞서지만, 사이버 보안 작업에서 압도적 성능을 보인다는 것이 핵심 차별점이다.

• 모델: Claude Mythos Preview (Mythos 정식판의 사전 버전)
• 접근: 공개 API 미제공, 초청제 컨소시엄 Project Glasswing만 사용
• 핵심 능력: 자율적 취약점 탐색·익스플로잇 생성·다단계 네트워크 침투
• 벤치마크: SWE-bench Verified 93.9%, SWE-bench Pro 77.8% (현 1위)
• 대상: 글로벌 보안 기업·정부 인증 기관·중요 인프라 운영자

왜 "사이버 보안 특화"인가

Anthropic은 Mythos가 "전문가 안내 없이 자율적으로 소프트웨어 취약점을 발견하고 무기화"할 수 있다고 명시했다. 통제된 평가 환경에서 Mythos Preview는 다단계 네트워크 공격을 자동 수행했고, 인간 보안 전문가가 며칠 걸리는 작업을 분 단위로 끝냈다.

Project Glasswing — "방어자에게만"

Anthropic은 동시에 Project Glasswing이라는 컨소시엄을 발족했다. 이 프로젝트의 목표는 두 가지다.

1. 중요 오픈소스·인프라의 잠재 취약점을 Mythos로 사전 식별 → 패치 사이클 단축
2. Mythos를 활용한 방어 도구(자동 패치 PR, 위협 탐지)를 컨소시엄 내 공유

Glasswing에 참여하는 기관은 NDA·보안 표준 준수가 필수이며, API 키는 단일 호스트 IP로 제한된다.

벤치마크 (공식 발표)

특히 CTF·취약점 탐지 영역에서 격차는 두 배 이상이다. 일부 보안 연구자들은 "사람 보다 빠르게 취약점을 찾는 모델"이라고 평가했다.

왜 일반 공개를 안 하나

Anthropic의 공식 입장은 명확하다. 공격에 사용될 위험이 너무 크다는 것. AI Safety Institute(AISI)와 협력한 사전 평가에서 Mythos Preview는 다음과 같은 위험을 보였다.

• 인터넷 연결만 주면 무방비 호스트의 취약점을 자동 탐색·악용
• 레거시 시스템(2020년 이전 버전)을 표적으로 1주 이내 익스플로잇 작성
• 봇넷 형태로 활용될 경우 단일 운영자가 수천 대 동시 침투 가능

"Responsible Disclosure"의 새로운 의미

Anthropic은 Mythos를 "방어자 우선 모델"이라 부른다. 모델이 발견한 취약점은 즉시 해당 프로젝트 메인테이너에게 비공개로 통보되며, 90일간 익스플로잇 생성 출력은 차단된다.

업계 반응

• OpenAI: Sam Altman이 X에서 "공포 마케팅" 비판 (별도 기사 참조)
• UK AISI: 자체 평가 보고서에서 "현재까지 평가한 모델 중 최고 수준의 사이버 능력" 인정
• Linux 재단: Glasswing 컨소시엄 가입 검토 중 — 오픈소스 프로젝트 보호 목적
• 비판: "초청제는 결국 비밀 클럽" — 학계·중소 보안 기업이 접근에서 배제됨

실무 시사점

• 코드 베이스의 취약점 사전 점검 능력이 사실상 "AI 자동화 가능" 영역에 들어옴
• 1년 내 동일 능력 모델이 오픈소스로 등장할 가능성 — 방어 측 준비가 시급
• 패치 사이클 정책을 "30일"에서 "7일"로 단축하는 기업이 늘어날 전망
• SBOM(Software Bill of Materials) 정확도가 보안 우선순위 1번이 됨

자주 묻는 질문

일반 개발자가 Mythos를 쓸 수 있나?

현재 불가. Glasswing 컨소시엄 가입(보안 기업·정부 인증 기관·인프라 운영자) 없이는 접근 불가하다.

Mythos Preview와 Mythos의 차이는?

Preview는 사이버 능력에 일부 제한을 둔 사전 버전. 정식 Mythos는 더 강력하지만 공개 일정이 불확실하다.

오픈소스에 어떤 영향이 있나?

주요 OSS는 Glasswing 가입 시 사전 보안 점검 혜택을 받을 수 있다. 단 가입에는 NDA가 필요하다.