Firefox 150은 한 번의 릴리스에서 보안 취약점 271건을 수정했다.
Mozilla 역사상 단일 버전에서 가장 많은 취약점을 고친 기록이다. 1년 전 같은 시기 Firefox 한 버전에서 수정한 취약점은 대략 31건이었다. 31건에서 271건으로 늘어난 것은 단순한 증가가 아니라 자릿수가 바뀐 변화다.
그 차이를 만든 이름은 Claude Mythos다.
Mozilla는 몇 달 동안 Mythos를 사용했다
Anthropic이 2026년 4월 Mythos를 공개하기 전, 일부 주요 기업은 이미 Preview 버전에 접근할 수 있었다. AWS, Apple, Google, Microsoft, Mozilla 등 십여 개 회사가 Project Glasswing이라는 내부 프로그램에 들어가 있었다.
Mozilla는 Mythos Preview를 몇 달 동안 돌렸다. Firefox 150에 포함된 보안 수정 결과는 다음 숫자로 정리된다.
- 보고된 취약점 271건이 모두 수정됐다.
- 그중 180건은 Mozilla가 sec-high로 분류했다. 일반적인 웹 탐색 중에도 악용될 수 있는 문제를 뜻하는 내부 최고 심각도 등급이다.
- 정식 CVE 번호가 붙은 항목은 CVE-2026-6746, CVE-2026-6757, CVE-2026-6758 세 건이었다. 나머지 상당수는 내부 발견, 방어 강화, 또는 실제 악용 가능성이 낮다고 본 코드 경로의 문제였다.
- 가장 오래된 버그는 15년 동안 숨어 있었다. 2011년 이전 코드에서 온 HTML 파싱 버그였다.
Firefox CTO Bobby Holley의 평가는 의미심장했다. 고무적인 점은 최고 수준의 인간 연구자가 발견하지 못했을 취약점은 보이지 않았다는 취지였다.
다시 말해 Mythos가 'AI만 할 수 있는 일'을 한 것은 아니다. 인간 연구자가 이미 할 수 있는 일을 훨씬 빠른 속도로 수행한 것이다.
Mozilla가 인정한 현실
Mozilla 수석 엔지니어 Brian Grinstead는 TechCrunch와의 인터뷰에서 이 변화가 팀에 미친 영향을 과장하기 어렵다고 말했다. 이런 도구들이 갑자기 매우 좋아졌다는 것이다.
더 중요한 대목은 수정 과정에 관한 말이었다.
각각의 수정은 여전히 한 엔지니어가 패치를 작성하고 다른 엔지니어가 리뷰한다. Mozilla는 이 단계를 자동화할 수 없다.
핵심은 여기에 있다. Mythos는 구멍을 찾는다. 하지만 그 구멍을 메우는 일은 아직 사람의 몫이다. 지금 Mozilla 엔지니어들이 마주한 것은 버그가 줄어든 상황이 아니라, 고쳐야 할 버그가 한꺼번에 훨씬 많아진 상황이다.
수치도 같은 방향을 가리킨다. Firefox는 2026년 4월에 423건의 버그를 수정했다. 전년 같은 달에는 31건이었다.
정리하면 이렇다. AI는 '찾기'를 한 자릿수 이상 빠르게 만들었지만, '고치기'는 여전히 사람 수에 맞춰 움직인다. 병목은 스캔에서 조치로 옮겨갔다.
Anthropic이 Mythos를 공개하지 않는 이유
Mythos는 아직 Project Glasswing 안에 머물러 있다. Preview 버전을 쓸 수 있는 곳은 신뢰된 소수 파트너뿐이다. Anthropic의 설명은 명확하다. 이 도구가 잘못된 손에 들어가면 깊숙이 숨은 0-day를 찾아낼 수 있기 때문이다.
Palo Alto Networks의 테스트에 따르면 Mythos가 수행한 한 번의 침투 테스트는 인간의 1년치 작업량에 해당했고, 걸린 시간은 3주가 채 되지 않았다.
Anthropic이 공개를 서두르지 않는 이유가 여기에 있다. 취약점 연구에서는 속도가 방어자와 공격자 중 누가 먼저 도착하는지를 결정한다. Mythos급 시스템이 방어 조직의 수정 역량보다 먼저 공격자에게 넘어가면, 악용 가능한 구멍은 선의의 쪽이 막는 속도보다 더 빠르게 늘어날 수 있다.
Firefox의 271이라는 숫자는 이미 이 수준의 AI 취약점 헌터가 되돌릴 수 없는 기술 변화임을 보여준다. 남은 질문은 이런 변화가 일어날지 여부가 아니라, 누가 먼저 사용할 것인가다.
Anthropic 입장에서는 십여 개의 신뢰된 파트너 안에서 시스템을 성숙시키는 편이 곧바로 공개하는 것보다 안전하다. 그러나 오픈소스 생태계 입장에서는 OpenBSD, Apache, Linux 커널 같은 프로젝트가 Project Glasswing 명단에 들어 있지 않다.
이 싸움의 후반전은 꽤 흥미로울 것이다.
출처: CocoLoop, How Anthropic's Mythos has rewritten Firefox's approach to cybersecurity (TechCrunch), Claude Mythos Finds 271 Firefox Vulnerabilities (SecurityWeek), Behind the Scenes Hardening Firefox with Claude Mythos Preview (Mozilla Hacks)