Claude Mythos 무단 접근이 드러낸 고위험 AI 모델 게이팅 설계

2026년 4월 7일 Anthropic은 사이버보안 특화 모델인 Claude Mythos Preview를 공개했다. 주요 운영체제와 브라우저의 제로데이 취약점을 찾고 멀티스텝 익스플로잇을 체이닝할 수 있어, 공개하기에는 지나치게 위험한 모델로 분류됐다. 그날 비인가 사용자 그룹은 서드파티 벤더 환경을 경유해 이 모델에 접근했다.

방어 목적으로만 제공되는 고위험 모델이라도, 접근 권한을 둘러싼 설계가 약하면 공격 도구로 전용될 여지가 생긴다.

제한 공개된 Mythos와 무단 접근 사건

Claude Mythos는 Anthropic의 red.anthropic.com에서 Preview로 공개된 사이버보안 특화 모델이다. 주요 OS와 브라우저의 제로데이 취약점을 자율적으로 발견하고, 소프트웨어 버그를 연쇄하는 멀티스텝 익스플로잇 체이닝과 고도의 공격적 사이버 작전 시뮬레이션을 수행할 수 있다.

취약점을 먼저 찾아 방어에 활용할 수 있다는 점은 큰 이점이다. 반대로 공격에 사용될 경우 치명적인 위협이 될 수 있다. Anthropic은 이를 일반에 공개하지 않고 Project Glasswing 게이팅 체계를 통해 40여 개 엘리트 기업에만 제공했다.

Apple, Amazon, Microsoft, Google, NVIDIA, Cisco, CrowdStrike 등 40개 이상의 주요 기술 기업은 취약점 식별과 패치 목적으로 접근 권한을 받았다.

무단 접근은 프라이빗 Discord 채널에서 소통하던 소수의 비인가 사용자 그룹이 다른 Anthropic 모델의 URL 규칙을 토대로 Mythos의 온라인 위치를 추측하면서 시작됐다. 이들은 서드파티 계약업체 소속 내부자의 자격증명을 이용해 접근에 성공했다.

Anthropic은 "무단 접근이 Anthropic 핵심 시스템에 영향을 미쳤거나 벤더 환경 외부로 확장됐다는 증거는 없다"고 밝혔다.

접근 요청이 통과하는 경계

⤢✕

게이팅은 승인 기업이라는 조건 하나로 끝나지 않는다. 신원, 사용 기기, 요청 위치, 권한 범위, 세션 활동을 연결해 검증해야 한다.

인증 계층에는 FIDO2/패스키 기반 강화 MFA를 두고 SMS OTP는 허용하지 않는다. 등록된 관리형 기기에서만 접근하도록 하며, 고위험 작업 전에는 추가 생체 인증을 요구한다. 접근 가능 네트워크도 승인된 기업의 IP 화이트리스트로 제한한다.

인가에서는 기업별·사용자별 작업 범위를 명시하는 RBAC와 필요한 시간에만 권한을 활성화하는 JIT 접근을 조합한다. 사용자는 업무에 필요한 최소한의 모델 기능만 사용할 수 있어야 한다.

감사 계층은 모든 프롬프트와 응답을 불변 로그로 보존하고, 사용 패턴을 실시간 분석해 이상 행위를 탐지한다. 로그는 법적 증거 수준의 무결성을 갖춰야 한다.

사건에서 드러난 접근 통제 취약점

첫 번째는 URL 추측 가능성이다. 다른 모델과 일관된 URL 패턴이 Mythos의 위치를 짐작할 단서를 제공했다. 이는 보안을 통한 불명확성(security through obscurity)에 기대는 설계 결함이다. URL 패턴은 예측하기 어려워야 하며, 위치가 알려져도 통과할 수 없는 다층 인증이 필요하다.

두 번째는 서드파티 벤더에 대한 과도한 신뢰다. 내부 계약업체는 Mythos 환경에 접근할 자격증명을 보유했고, 비인가 그룹이 이를 활용했다. 벤더에 부여한 신뢰 수준이 실제 업무에 필요한 범위를 넘어섰다.

세 번째는 벤더 환경의 모니터링 공백이다. 해당 환경에서 이뤄진 Mythos 접근을 실시간으로 탐지하지 못했다. 제1자 환경과 동등한 수준의 감시 체계를 서드파티 환경에 적용하지 않은 점이 탐지 지연으로 이어졌다.

인증부터 API 게이트웨이까지

⤢✕

JIT와 RBAC를 함께 적용하면 상시 권한을 피하고 필요한 순간에만 접근을 허용할 수 있다. Project Glasswing 수준의 고위험 모델에서는 세션마다 새로운 임시 자격증명을 발급하고, 토큰에 "취약점 탐지 전용"과 같은 사용 목적을 인코딩한다. 세션당 최대 사용 시간은 예를 들어 4시간으로 제한하며, 비활성 상태에서는 세션을 자동 종료한다.

감사 로그에는 프롬프트 입력, 모델 출력, API 호출, 세션 메타데이터를 빠짐없이 기록해야 한다. 생성된 로그는 수정과 삭제가 불가능해야 하며 WORM 스토리지와 블록체인 타임스탬프를 활용할 수 있다. 로그를 SIEM으로 스트리밍하면 이상 행위를 즉시 탐지할 수 있고, Chain of custody와 디지털 서명은 법적 증거 수준의 무결성 증명에 사용된다.

우회 경로별 방어 통제

승인 기업 직원이 권한을 남용하거나 자격증명이 외부에 유출되는 내부자 위협은 이번 Mythos 사건의 실제 경로였다. UEBA로 정상 사용 패턴을 학습하고 이탈 시 즉시 알림을 보내야 한다. 계약업체 권한은 업무에 필요한 최소 범위로 제한하고, 개인 자격증명은 타인에게 위임할 수 없도록 정책과 기술적 통제를 함께 둔다.

서드파티 시스템 침해로 Mythos 자격증명이 탈취되는 공급망 타협도 별도 경로로 다뤄야 한다. 벤더 접근 전 SOC 2 Type II를 요구하고 정기 보안 감사를 수행하며, 벤더 환경 자체를 신뢰하지 않는 제로 트러스트 통합이 필요하다. 핵심 Mythos 인프라와 벤더 환경은 완전히 분리한다.

미공개 API 엔드포인트를 URL 패턴으로 추측하는 시도에는 예측 불가능한 URL 패턴을 사용한다. 인증 없는 접근에는 존재를 드러내지 않는 404 응답을 반환하고, CDN 수준 WAF로 URL 패턴 스캐닝을 탐지·차단한다.

제로 트러스트로 묶는 배포 기준

경계 방어(perimeter defense)만으로는 고위험 AI 모델을 보호하기 어렵다. 제로 트러스트는 접근 요청마다 신원, 디바이스, 위치, 행동을 계속 검증한다.

영역	요건	구현 방법
인증	강화 MFA 필수	FIDO2/패스키, 생체 인증
인가	JIT 최소 권한	세션 단위 임시 토큰
네트워크	격리된 접근	VPC peering, Private Link
모니터링	실시간 이상 탐지	SIEM + UEBA
감사	불변 로그	WORM 스토리지, 디지털 서명
벤더	동등 보안 수준	SOC 2 요구, 정기 감사

2026년 이후 고위험 AI 모델의 게이팅은 단순 API 키 인증을 넘어 행동 기반 지속 검증(continuous behavioral verification)으로 진화할 것이다. 사용 목적에서 벗어난 요청, 비정상 쿼리 패턴, 모델 출력의 공격적 내용이 탐지되면 세션을 자동으로 종료하는 능동형 가드레일(active guardrail)이 필수 요소가 된다.

Mythos 사례는 URL 추측, 서드파티 자격증명 남용, 모니터링 공백이 하나의 접근 실패로 연결될 수 있음을 보여준다. 방어 전용 모델을 지키려면 JIT 인가, FIDO2 인증, 실시간 UEBA 모니터링, 불변 감사 로그를 겹겹이 구성해야 한다. 모델을 보호하는 시스템도 먼저 공격을 견뎌야 한다.