방어하는 쪽에 선 Claude: 전력망에서 오픈소스까지, Anthropic의 Cyber Mission

Anthropic의 공식 발표는 솔직한 인정에서 출발한다. 높은 사이버 역량을 갖춘 AI 모델은 이미 공격자들이 폭넓게 쓸 수 있는 상태라는 것이다. 그래서 회사는 2026년 10월 8일 Cyber Mission을 공개했다. 같은 기술 자원을 디지털 시스템을 지켜야 하는 이들의 손에 쥐여 주겠다는 장기적인 약속이다. 이 계획은 두 분야에 집중한다. 수도·전력·교통망을 운영하는 운영기술(OT), 그리고 웹 서비스 상당 부분의 토대가 되는 오픈소스 소프트웨어다.

물리적 기반시설 쪽에서는 Critical Infrastructure Defense Program(CIDP)이 첫 코호트의 기술 공급업체들에 최첨단 Claude 모델과 현장 엔지니어링 지원을 제공한다. 창립 파트너로는 CrowdStrike, Deloitte, Palo Alto Networks를 포함한 업계 기업 11곳이 참여한다. Anthropic의 소개 페이지에서 Palo Alto Networks의 수석 부사장 샘 루빈은 공격자들이 이미 AI로 취약점을 기계의 속도로 찾아내 악용하고 있다고 강조했다. 다만 현재 Anthropic의 자료는 초기 단계 이후 서비스의 상업적 조건이 어떻게 될지, 첫 코호트 이후 언제 더 넓게 제공될지 밝히지 않는다. 그 사이 업계의 다른 기업들은 양식을 통해 관심을 등록할 수 있다.

두 번째 축은 OSS Scanner다. Google의 OSS-Fuzz에서 착안한 무료 옵트인 서비스다. 오픈소스 코드를 주기적으로 스캔하고, 모델이 직접 생성한 보고서를 메인테이너에게 보낸다. 보고서에는 익스플로잇 개념 증명, 설명, 가능할 경우 수정 제안이 담긴다. Anthropic은 이 보고서들이 사전 인간 검토 없이 발송되며 심각도를 잘못 평가하는 등 부정확한 내용이 있을 수 있다고 밝혔다. 그러면서도 내부적으로는 참양성률이 90%를 넘을 것으로 예상한다. 이 서비스는 결과를 감당할 수 있는 프로젝트를 위한 것이다. 원본 보고서를 검토할 여력이 없는 곳은 기존의 조율된 공개 절차를 통해 사람이 검증한 신고를 계속 받는다. 참여하는 메인테이너에게 얼마나 많은 일이 떠넘겨질지는 아직 지켜봐야 한다. Google이 버그 바운티에서 자동화된 신고를 중단한 일을 둘러싼 최근 논쟁이 떠오르는 대목이다.

이를 재정적·운영적으로 뒷받침하는 것은 Cyber Verification Program의 확대와 Defender Advantage Fund다. 전자는 Project Glasswing을 통합해 보안 전문가들이 모델의 고급 사이버 역량에 더 쉽게 접근하도록 하겠다고 약속한다. 후자는 OSS Scanner의 무료 제공을 보장하기 위해서이기도 한 목적으로 8월에 출범한 기금으로, Anthropic은 규모를 공개하지 않았지만 이미 Python Software Foundation, Apache Software Foundation, 그리고 Linux Foundation을 통해 Alpha-Omega와 OpenSSF를 지원하고 있다.

AI가 약점 발견을 앞당겨 준다고 해도, 진짜 풀어야 할 매듭은 여전히 검증 작업으로 남을 가능성이 크다. 사전 점검 없이 버그 보고서 생성을 자동화하면 분석 부담은 신고를 받는 쪽으로 옮겨 간다. 시간이 가장 부족한 자원인 자유 소프트웨어 세계에서 이 도구의 실제 가치는 그 예측이 버텨 주느냐로 판가름 날 것이다. 90%를 넘는 참양성률이라는 수치는 아직 누구도 독립적으로 검증하지 않았다. — Olya