10,000 대 75.
이는 Anthropic이 지난 금요일(5월 22일) 발표한 Project Glasswing 첫 달 보고서에서 가장 눈에 띄는 두 숫자다. Claude Mythos Preview는 지난 한 달 동안 50개 파트너 조직과 협력하여 10,000개 이상의 고위험 및 치명적 소프트웨어 취약점을 발견했지만, 실제로 패치가 적용된 것은 75개에 불과하다.
핵심은 '얼마나 찾았는가'가 아니라 '얼마나 고치지 못했는가'다.
숫자로 보기
Anthropic 자체적으로 Mythos로 1,000개 이상의 오픈소스 프로젝트를 스캔하여 23,019개의 취약점을 발견했으며, 이 중 6,202개가 고위험 또는 치명적 등급이었다. Cloudflare도 자체 스캔을 통해 2,000개 이상(고위험 400개 포함)을 발견했다. Mozilla는 Firefox 150 한 버전에서 271개의 취약점을 수정했는데, 이는 Firefox 148 시대의 10배 이상이다.
파트너 조직은 총 50곳이다. 첫 번째 12개 '핵심 그룹'은 잘 알려진 이름들이다: AWS, Apple, Broadcom, Cisco, CrowdStrike, Google, JPMorgan, Linux Foundation, Microsoft, Nvidia, Palo Alto Networks. 40개 이상의 2차 참여자들도 모두 중요 인프라를 뒷받침하는 곳들이다.
이 숫자들을 합치면 지난 한 달간 최신 AI가 체계적으로 스캔한 실제 노출 표면이 드러난다.
- 1,000개 이상: Anthropic이 스캔한 오픈소스 프로젝트 수
- 23,019: 오픈소스 코드에서 발견된 전체 취약점
- 6,202: 그중 고위험/치명적 등급
- 2,000: Cloudflare 자체 점검에서 발견
- 271: Firefox 150 한 번에 수정된 수
- 530: Anthropic이 유지관리자에게 공식 통보한 수
- 75: 실제로 패치된 수
패치가 따라오지 못함
Anthropic 스스로도 이를 인정한다. 블로그에는 이렇게 쓰여 있다:
"소프트웨어 보안의 진전은 한때 새로운 취약점을 얼마나 빨리 찾을 수 있는지에 의해 제한되었습니다. 이제는 얼마나 빨리 검증, 공개, 패치할 수 있는지에 의해 제한됩니다."
쉽게 말해, 예전에는 찾지 못했지만 지금은 고치지 못하는 상황이다.
Anthropic은 530개의 고위험 및 치명적 취약점을 유지관리자에게 공식 통보했다. 첫 달 보고서 기준으로 패치가 적용된 것은 75개, 공개 보안 권고가 발행된 것은 65개에 불과하다. 530 → 75 → 65, 이 깔때기는 단계마다 좁아진다.
더 난처한 점은 일부 유지관리자가 이미 Anthropic에 보고 속도를 늦춰달라고 요청했다는 것이다. "한 번에 너무 많이 보내지 말아 달라"고. 중소 규모 오픈소스 프로젝트는 각 취약점을 검증, 수정, 테스트, 회귀 테스트할 인력이 아예 없다.
반대로 생각하면, 이것은 경쟁이다
Microsoft 부사장 Igor Tsyganskiy는 파트너 발언에서 더 날카로운 말을 남겼다:
"한때는 몇 달이 걸리던 일이 이제는 몇 분 만에 일어납니다."
취약점 발견부터 악용까지의 시간 창이 몇 달에서 몇 분으로 줄었다는 뜻이다. 그래서 75라는 숫자가 소름 끼치는 것이다. Mythos와 같은 능력이 곧 공격자 손에 들어간다면(거의 시간 문제다), 타임라인은 이렇게 된다:
- 취약점 찾기: 몇 분, AI 자동 스캔
- 공격 코드 작성: 몇 분, AI가 PoC 자동 생성
- 유지관리자 통보: 며칠
- 취약점 패치: 몇 주, 몇 달, 혹은 그 이상
Palo Alto Networks의 CTO Lee Klarich는 직설적으로 말했다:
"Mythos Preview는 게임 체인저입니다."
하지만 그의 다음 말이 더 중요하다. "공격자도 곧 그 어느 때보다 빠르게 취약점을 찾을 수 있게 될 것입니다."
자금이 투입된 곳
Anthropic은 Project Glasswing에 다음과 같이 투자했다:
- 1억 달러: 파트너 조직을 위한 모델 사용 크레딧
- 250만 달러: Alpha-Omega 및 OpenSSF(Linux Foundation 경유)
- 150만 달러: Apache Software Foundation
메시지는 분명하다: 모델 사용은 무료지만, 오픈소스 유지관리자를 위한 자금은 필요하다. 1억 달러는 많아 보이지만 50개 파트너로 나누면 각각 200만 달러다. 발견된 취약점 처리 작업량은 오픈소스 측에서 감당할 수 있는 수준을 훨씬 넘는다.
Linux Foundation의 Jim Zemlin은 Project Glasswing이 오픈소스 유지관리자에게 "신뢰할 수 있는 길"을 제공한다고 말했다. 길은 주어졌지만, 달리는 것은 그들 자신의 몫이다.
의미하는 바
단기적으로는 올해 하반기부터 내년까지 대기업의 패치 수가 계속 증가할 것이다. Microsoft는 이미 "패치 패키지가 계속 커질 것"이라고 말했다. Oracle도 패치 릴리스를 가속화하여 이전보다 몇 배 빨라졌다. Firefox 150에서 271개를 수정했고, Firefox 151에서는 더 많을 가능성이 높다.
중기적으로는 오픈소스 생태계의 '유지관리자 과로' 문제가 표면화될 것이다. 자원봉사자가 관리하는 npm 패키지가 원래 1년에 한 번 패치를 내놓던 곳에 Mythos 보고서가 30개 들어오면, 모두 수정할 수 없다. 어떤 것을 먼저 수정하고, 나중에 수정하고, 아예 무시할지가 새로운 정치적 문제가 될 것이다.
장기적으로 Project Glasswing은 더 깊은 진실을 드러낸다: AI는 '발견' 비용을 바닥까지 낮췄지만, '수정' 비용(엔지니어링 및 조직 오버헤드)은 모델이 개선된다고 자동으로 낮아지지 않는다. 다음 10년의 사이버보안은 누구의 AI가 더 많은 취약점을 찾아내는지가 아니라, 누구의 엔지니어링 팀이 '미해결' 취약점을 '수정 완료'로 전환할 수 있는지가 관건이다.
10,000 대 75. 이 비율이 다음 단계의 시험 문제다.
출처: Project Glasswing: An Initial Update(Anthropic Research); Anthropic finds over 10,000 software flaws in first month of Project Glasswing(Interesting Engineering); Anthropic's Glasswing — 10,000 Vulnerabilities Found in One Month, and the Patching Problem Has Never Been More Obvious(Security Affairs); CocoLoop