Anthropic의 Claude Mythos를 이용해 결제

10,000개 이상의 높음 및 심각 등급 취약점이 테스트 첫 달 만에 식별되었다. Anthropic의 Project Glasswing(프로젝트 글래스윙, 핵심 소프트웨어 보안 테스트 프로젝트) 참여 기업들이 산업 전반의 핵심 시스템을 뒷받침하는 소프트웨어를 대상으로 수행한 결과다. 핵심 소프트웨어를 운영하는 조직들이 공동으로 참여해 AI 기반의 보안 검증을 진행했다. Visa는 이 과정을 통해 고성능 AI 모델이 기존 방어 체계를 어느 지점까지 밀어붙일 수 있는지 학습하며 보안 수준을 정밀하게 점검했다.

Claude Mythos(클로드 미토스, Anthropic의 보안 특화 모델)는 전 세계 200개 이상의 국가와 지역에 걸친 Visa의 결제 네트워크 인프라에 투입되었다. 매일 수십억 건의 거래를 처리하는 인프라 배후의 시스템에서 취약점을 탐색하는 것이 핵심 목적이었다. 광범위한 글로벌 인프라를 대상으로 AI의 연산 속도를 활용해 수십 년에 걸친 보안 강화 수준을 단기간에 검증하는 방식을 적용했다. 이를 통해 보안 테스트의 시간적 제약을 극복하고 효율을 극대화했다.

탐색 과정 전체를 제어한 Visa Vulnerability Agentic Harness(비자 취약점 에이전틱 하네스, AI 모델의 취약점 탐색을 관리하는 도구)는 GitHub에 참조 구현체로 공개되었다. 보안 팀이 직접 코드를 검토하고 필요에 따라 수정하거나 확장할 수 있도록 설계된 도구다. 이 하네스는 AI 모델이 수행하는 취약점 탐색의 전 과정을 거버넌스 관점에서 관리한다. 오픈소스 공개를 통해 다른 보안 조직이 AI 기반의 취약점 탐색 체계를 구축하고 적용할 수 있는 실질적인 참조 모델을 제공했다.

Agentic AI 기반의 분석은 기존 SAST(정적 분석

알려진 취약점 패턴을 찾는 1차 패스 단계의 SAST(정적 분석 도구, 소스 코드를 실행하지 않고 분석하는 도구)가 수행하던 역할이 논리와 데이터 흐름을 추론하는 방식으로 확장됐다. 기존 도구는 시그니처 기반 패턴 매칭에 의존했기에 시그니처 사이에 존재하는 익스플로잇 체인을 추론하며 움직이는 공격자의 논리를 따라잡지 못하는 한계가 있었다. Claude Mythos는 스택 깊숙이 숨겨진 사소한 약점들을 연결해 실제로 작동 가능한 익스플로잇 체인으로 엮어내는 능력을 입증했다. 이는 단순 패턴 매칭의 한계를 넘어 논리적 추론을 통한 취약점 발견이 가능해졌음을 보여준다.

Visa Vulnerability Agentic Harness(비자 취약점 에이전틱 하네스, AI 모델을 보안 작업에 최적화해 가이드하는 프레임워크)는 4단계 페이즈와 11단계 스테이지로 구성된 거버넌스 파이프라인을 적용했다. 이 시스템은 코드 수집과 위협 모델링부터 심층 검증, 익스플로잇 체인 합성, 그리고 최종적인 수정 및 수정 검증까지의 전 과정을 체계적으로 수행한다. 모든 단계에 결정론적 제어와 정책 게이트, 인간의 감독을 배치해 프런티어 AI 모델이 구조화된 보안 작업을 정확히 수행하도록 안내한다. AI의 자율적 추론 능력에 결정론적 통제 장치를 결합해 보안 분석의 신뢰도를 높인 구조다.

확인해야 할 핵심 지점

LLM 추상화 계층을 통해 제어 평면(control plane)을 수정하지 않고도 모델 제공자를 유연하게 교체하거나 조합할 수 있다. 오픈소스 버전은 Anthropic Claude, OpenAI 호환 모델, 또는 이들의 혼합 방식으로 작동하도록 설계되었다. 특정 AI 제공자에 종속되지 않고 필요에 따라 모델을 교체할 수 있는 멀티 모델 설계가 적용되어 인프라 변경 없이 모델 최적화가 가능하다.

수정 사항을 적용하려면 Anthropic 백엔드에서만 노출되는 파일 편집 도구가 필요하며, 이에 따라 수정(remediation) 및 검증(validation) 단계의 완전한 기능 구현에는 Anthropic 모델이 필수적이다. OpenAI 호환 모델을 해당 역할에 배치할 경우 파일 수정 도구에 접근할 수 없어 리포트 출력으로 기능이 제한된다. 백엔드 모델이 제공하는 도구의 범위가 에이전트의 실질적인 조치 능력을 결정하는 기술적 제약으로 작용한다.

단순한 패치 적용 여부가 아닌 실제 공격 경로가 차단되었는지를 측정하는 MTTA(Mean Time to Adapt, 평균 적응 시간) 지표 도입을 기준으로 보안 실효성을 판단해야 한다.