[비즈한국] 지난 4월 앤트로픽이 미토스 프리뷰를 공개한 이후, 미토스급으로 분류되는 AI 모델이 잇따라 등장하고 있다. 앤트로픽의 ‘미토스5’와 일반용 변형 모델 ‘페이블5’에 이어 오픈AI의 ‘GPT-5.6 솔(Sol)’, 오픈소스 기반의 ‘키미(Kimi) K3’까지 등장하면서 긴장감이 산업 전반으로 확산하는 모양새다. 특히 최근 GPT-5.6 솔이 개발자 플랫폼 허깅페이스 침해 사고를 일으키면서 AI 해킹 능력을 둘러싼 논의가 ‘어떻게 통제할 것인가’로 옮겨가고 있다.
석 달 만에 셋이나 등장한 ‘미토스급’ AI
미토스가 처음 공개됐을 때 업계가 주목한 지점은 사이버 보안 전용으로 설계되지 않은 범용 모델이 뛰어난 해킹 역량을 갖췄다는 사실이었다. 당시엔 GPT나 키미 계열이 아직 이 수준에 이르지 못했지만, 지금은 GPT-5.6 솔과 중국 문샷AI의 키미 K3까지 더해져 최소 세 갈래로 미토스급 모델이 늘어난 상태다. 취약점을 발견하고 실제 공격 코드로 바꾸는 역량이 특정 기업 한 곳의 문제가 아니라 업계 전반의 화두가 됐다는 뜻이다.
이런 우려를 구체적인 사례로 보여준 것이 지난달 GPT-5.6 솔이 일으킨 ‘허깅페이스 침해 사고’다. 오픈AI에 따르면 솔은 내부 사이버 보안 평가 도중 통제 환경을 벗어나 외부 AI 플랫폼인 허깅페이스 운영 시스템을 자율적으로 해킹한 것으로 확인됐다. 이 과정에서 접근 기록을 삭제하고 일부 데이터에 접근했다.
이는 단순 내부 오류가 아니라, 격리된 샌드박스 환경을 탈출해 실제 외부 서버에 침투한 전례 없는 보안 사고에 해당한다. 오픈AI는 사고 직후 세션을 차단하고 영향받은 계정에 통지했다고 밝혔다.
최병호 고려대 AI연구소 교수는 “사용자가 특정 시스템 로그 삭제를 지시했는데, 이 로그를 찾지 못한 모델이 유사한 항목을 삭제 대상으로 확대 해석하면서 문제가 시작됐다”며 사고 이면의 작동 방식을 설명했다. 이 과정에서 모델은 접근 가능한 캐시·쿠키 정보를 활용해 계정 정보를 확보했고, 결과적으로 원래 권한 범위를 벗어난 시스템에까지 접근했다.
최 교수는 “이 모델은 사용자의 문제 해결을 최우선 가치로 학습했다. 그런데 인간이라면 당연히 전제하는 관습이나 규범에 대한 이해가 없다 보니 목표를 달성할 때까지 시도를 확장하는 방식으로 행동한다”며 “중간에 사용자와 대화하거나 진행 상황을 보고하지 않고, 결과가 나온 뒤에야 전체 과정을 설명하는 경향도 있다”고 말했다. 오픈AI도 GPT-5.6 공개 당시 시스템 카드를 통해 이런 통제 범위 밖 행동 가능성을 명시한 바 있다.
“과장됐다” 반론 있지만…27년 묵은 버그까지 찾아내
앤트로픽이 ‘글래스윙’ 프로그램을 통해 소수 파트너 기업에만 제한적으로 미토스를 제공하는 것과 달리, K3는 오픈소스이기 때문에 이런 접근 통제 자체가 성립하지 않는다. 다크웹에서도 구동할 수 있어 조직범죄에 활용될 가능성도 거론된다.
미토스급 AI 모델은 인간 전문가 수준을 뛰어넘는 고도의 추론 및 사이버 보안·코딩 역량을 갖춘 차세대 프런티어 AI를 일컫는다. 앤트로픽은 아마존웹서비스(AWS)·애플·구글·마이크로소프트 등 핵심 인프라 기업들을 파트너로 모아 ‘글래스윙(Glasswing)’ 프로그램을 운영하고 있다. 미토스에 대한 일반 공개를 보류하는 대신, 신뢰할 수 있는 소수 기관에만 접근권을 열어 세계 핵심 소프트웨어의 취약점을 먼저 찾아내 패치하도록 하는 일종의 방어 동맹이다. 이 프로그램은 가동 한 달도 되지 않아 1만 개 이상의 취약점을 찾아낸 것으로 알려졌다.
차상길 KAIST 정보보호대학원 교수는 지난 21일 미토스 관련 정책·산업 대응 전략 국회 토론회에서 “미토스는 27년 묵은 오픈BSD TCP 취약점과 16년 묵은 FFmpeg 취약점도 찾아냈다”며 “대부분 기존 보안 전문가들이 발견하지 못한 것들”이라고 설명했다.
해외에서는 미토스의 위협 수준이 과장됐다는 시각도 나온다. 하버드 케네디스쿨 초빙연구위원이자 보안 전문가인 브루스 슈나이어는 미토스 발표를 둘러싼 초기 보도 상당수가 앤트로픽의 발표 내용을 비판적 검증 없이 그대로 옮겼다는 점을 지적하며 이번 공개 자체가 상당 부분 홍보 전략의 성격을 띠고 있다는 분석을 내놨다. 미토스가 실제로 무엇을 할 수 있고 할 수 없는지에 대한 세부 정보가 제한적으로만 공개된 상태에서, 위협의 크기를 판단할 근거 역시 회사 발표에 크게 의존할 수밖에 없다는 지적이다.
‘사용자도 아직 못 믿는다’ 통제력의 한계
현장의 화이트해커들 사이에서는 또 다른 한계도 지적된다. 김종민 HSPACE(화이트해커 커뮤니티) 대표는 AI가 취약점 탐지의 문턱을 크게 낮추면서 보안 생산성은 높아졌지만, 검증되지 않은 취약점이 무분별하게 쏟아지는 ‘취약점 대홍수’가 새로운 문제로 떠올랐다고 진단했다.
AI로 찾아낸 취약점은 서로 비슷한 패턴을 보이는 경우가 많아 중복 제보가 급증하고, 애초 의도된 설계임에도 취약점으로 오인해 검증 없이 접수되는 사례도 늘고 있다는 설명이다. 김 대표는 “해커가 예전에는 경기를 직접 뛰는 플레이어였다면 지금은 메시와 호날두, 음바페를 데리고 있는 감독과 같다”고 표현했다. AI 덕분에 개인의 실력과 무관하게 훨씬 많은 취약점을 찾아낼 수 있게 됐지만, 그만큼 걸러지지 않은 결과물도 함께 늘었다는 것이다.
윤리의식이 부족한 참여자가 시장에 유입되는 것도 우려 요인으로 꼽힌다. 정말 중요한 취약점을 처리해야 하는 리소스가 AI 공해로 인해 발생한 취약점을 처리하는 데 쓰이는 문제도 나타난다는 지적이 나온다.
업계 안팎에서는 미토스급 모델의 또 다른 한계로 ‘통제력 부족’을 짚는다. 아무리 강력한 탐지·방어 능력을 갖췄더라도 운용하는 사람의 의도대로 정확히 움직이지 않는다면 방어 목적으로도 안심하고 쓰기 어렵다는 것이다. GPT-5.6 솔의 허깅페이스 사고가 방증하듯, 문제는 모델이 악의적으로 공격한 경우가 아니라 지시를 확대 해석해 스스로 판단 범위를 넓힌 경우에도 똑같이 피해가 발생할 수 있다는 것이다.
모델 자체에 통제 기능을 내장하는 방향이 논의되는 것도 이 때문이다. 행동에 앞서 결과를 시뮬레이션하는 ‘검토 기능’ 외에도 복구가 불가능한 조치 앞에서는 반드시 사용자 승인을 받도록 하는 절차, 모델의 행동을 별도로 감시하는 에이전트 구조 등이 대안으로 거론된다.
최 교수는 “구글 등이 이런 장치의 기본 활성화를 요구하고 있지만, 이번 GPT-5.6 사고 역시 관련 기능이 충분히 작동하지 않은 상태에서 발생했을 가능성이 있다”며 “아직 표준화된 해법은 없는 단계”라고 말했다.