11월 4일 공개된 프리프린트 연구에 따르면, Anthropic의 AI 모델 Claude Mythos Preview에 조기 접근한 기업들의 소프트웨어 취약점 공개 건수는 중국 기업 비교군의 변화와 비교해 약 120% 더 늘었습니다. 조사 대상인 기업과 Linux 배포판의 패치 경로에서는 통계적으로 유의한 수리 지연이 나타나지 않았습니다. 다만 공개된 취약점 수가 실제 취약점 전체를 뜻하는 것은 아니며, 취약점 발견과 패치 공개, 사용자의 패치 설치도 각각 다른 단계입니다. 따라서 이번 결과만으로 실제 공격 위험이 낮아졌다고 보기는 어렵습니다.
참여 기업 13곳과 중국 기업 267곳 비교
Thomas Mosk가 작성한 연구는 2025년 10월부터 2026년 9월까지를 분석했습니다. Anthropic은 2026년 4월 7일 Project Glasswing을 발표하고 일부 기업에 Mythos Preview를 제공했습니다. 취약점 공개 분석에서는 참여 기업 13곳과 중국 기업 267곳을 비교했습니다. 비교군 기업들도 다른 AI 도구를 사용할 수 있었습니다.
연구진은 참여 기업의 취약점 공개가 상대적으로 약 120% 증가했고, 영향도가 높은 취약점 공개는 약 150% 늘었다고 추산했습니다. 여기서 ‘영향도가 높다’는 것은 취약점 심각도 점수 중 영향 항목이 중간값보다 높다는 뜻입니다. 실제 피해 규모를 직접 집계한 결과는 아닙니다.
Glasswing 접근 권한은 무작위로 배정되지 않았고, 국가별로 취약점 공개 관행이 다를 수 있습니다. 이런 요인 때문에 인과관계를 단정하기는 어렵습니다. 연구 결과는 접근 권한과 공개 변화의 연관성을 보여줄 뿐, 증가분 전체가 해당 모델 때문에 발생했다고 입증하지는 않습니다.
패치 경로에서 유의한 지연은 확인되지 않아
Mosk는 취약점 공개와 패치 대응을 별도로 분석했습니다. 표본 기간이 짧은 분석에서는 Glasswing 관련 취약점과 중국 외 지역의 다른 취약점을 비교했습니다. 한 분석은 2026년 6월까지 Zero Day Initiative를 통해 업체에 보고된 취약점 658건을 추적했습니다. 다른 분석은 7월까지 공개된 취약점 14,855건을 대상으로 Debian, Ubuntu, Red Hat, SUSE 등 Linux 배포판의 패치 상황을 살폈습니다.
두 경로 모두 통계적으로 유의한 패치 지연을 보이지 않았습니다. 공개된 취약점의 경우 배포판에서 패치까지 걸린 시간의 중간값은 하루로 유지됐습니다. 업체의 패치 속도 추정치는 약 13%를 넘는 지연을 배제했지만, 이보다 작은 변화는 여전히 가능성이 있습니다. 후속 분석에서도 90일 안에 패치가 완료되는 비율이 약 11%포인트 하락하는 경우까지는 배제하지 못했습니다.
이번 연구는 특정 취약점 표본과 패치 경로를 측정했으며, 공개되지 않은 업무 환경을 포괄하거나 최종 사용자가 패치를 설치하는 속도를 조사하지 않았습니다. 따라서 패치가 공개됐다는 사실만으로 관련 시스템의 업데이트가 모두 끝났다고 볼 수는 없습니다.
알려진 악용 취약점은 유의한 변화 없어
Glasswing이 6월 확대되기 전인 5월까지를 대상으로 한 비교에서는, 중국 외 대기업에서 알려진 악용 취약점 수가 1개월·2개월·3개월 기준으로 통계적으로 유의하게 변했다는 결과가 나오지 않았습니다. 그렇다고 악용 건수가 완전히 그대로였다는 뜻은 아닙니다. 추정치의 정밀도가 제한돼 일정 폭의 증가나 감소를 배제할 수 없고, 초기 단계에서 확인된 악용 사례만 관찰해 전체 공격이나 공개되지 않은 취약점은 포함하지 못했습니다.
일부 비교에서는 공개된 취약점 가운데 악용 사실이 알려진 항목의 비중이 낮아졌습니다. 그러나 공개 취약점 총량이 늘면, 알려진 악용 취약점 수가 줄지 않아도 그 비중은 낮아질 수 있습니다. 연구진은 이를 공격 감소의 확증이 아닌 참고할 만한 결과로 해석했습니다.
앞서 Epoch AI는 7월 2일 Mythos Preview 이후 고위험·심각 취약점 공개 변화를 분석하면서, 공개 통계에 미공개 발견 사례가 빠질 수 있고 취약점 탐색에 대한 관심 증가가 수치에 영향을 줄 가능성도 있다고 지적했습니다.
암호화폐 인프라에서도 취약점 발견, 패치 공개, 노드의 실제 설치는 서로 다른 단계입니다. Bitcoin Core는 10월 29일 AI가 발견해 검증과 패치가 이뤄진 취약점 3건을 공개했습니다. 다만 네트워크 노드에 패치가 실제로 얼마나 설치됐는지는 별도로 확인해야 합니다. 이번 연구에서는 취약점 공개 증가와 조사 대상 패치 경로의 뚜렷한 지연이 함께 나타나지 않았지만, 그 결과 공격이 줄었거나 실제 운영 중인 소프트웨어의 보안이 개선됐는지는 결론이 나지 않았습니다.