Palo Alto Networks는 4월 7일부터 한 달 동안 Anthropic의 Claude Mythos, Claude Opus 4.7과 OpenAI의 GPT-5.5-Cyber를 자사 코드베이스에 적용했다고 밝혔다. 결과는 26개 CVE와 75개 구체적 취약점이었다. 대상 제품은 130개가 넘었고, 평소 월간 CVE 수의 약 7배에 해당한다.
눈에 띄는 점은 공격자가 아니라 방어자가 먼저 쓴 사례라는 것이다. Palo Alto는 Anthropic의 Project Glasswing과 OpenAI의 Trusted Access for Cyber를 통해 모델에 접근했고, 단순 코드 리뷰 요청이 아니라 내부 scanning harness에 모델을 넣었다.
실행 가능한 exploit까지 쓴다
CPO Lee Klarich는 이번 모델들이 이전 세대보다 작동하는 exploit 작성 능력이 훨씬 높다고 말했다. 내부 테스트에서 exploit 성공률은 70%를 넘었다. 다만 모델이 마법처럼 바로 되는 것은 아니며, Palo Alto는 모델 출력을 보안 워크플로에 연결하는 harness 구축에 많은 공수를 들였다.
26개 CVE는 공개 전 모두 패치됐고, advisory는 실제 악용 사례가 없다고 밝혔다. 더 큰 경고는 시간이다. Palo Alto는 공격자들이 3~5개월 안에 비슷한 프런티어 AI 능력에 접근할 수 있다고 보고 있으며, 방어자는 코드 스캔, 공격면 축소, 자동 탐지와 대응을 앞당겨야 한다.
참고 자료: CocoLoop, CNBC, Axios, Palo Alto Networks Blog. 모델명, CVE 수, 75개 취약점, exploit 성공률, 패치 상태와 3~5개월 경고를 확인했다.