미국 사이버 보안 기관인 사이버보안 및 인프라보안국(CISA)이 앤트로픽(Anthropic)의 인공지능(AI) 모델 '미토스(Mythos)'를 활용해 정부 소프트웨어의 보안 취약점을 점검하고 있는 것으로 알려졌다.

이는 백악관과의 갈등이 이어지는 상황에서도 미국 정부가 AI를 사이버 방어 체계에 적극 도입하고 있음을 보여주는 사례로 분석됐다.

7일(현지시간) 로이터 통신과 복수의 소식통에 따르면 CISA는 미토스를 활용해 정부 소프트웨어 저장소(코드 리포지토리)를 분석하고 있으며, 외국 정보기관이나 사이버 범죄 조직이 악용할 수 있는 보안 취약점을 찾아내는 작업을 진행하고 있다고 밝혔다.

[AFP/연합뉴스 제공]

▲ 정부 코드 자동 분석…취약점 대거 발견한 것으로 전해져

이번 점검은 CISA 산하 '공격 표면 평가(Attack Surface Evaluation)' 팀이 수행하고 있는 것으로 알려졌다.

이 조직은 연방 정부 기관을 대상으로 디지털 보안 진단과 모의 해킹을 수행하는 전문 조직으로, AI를 활용해 방대한 규모의 소스코드를 자동 분석하고 있는 것으로 전해졌다.

소식통 2명은 이번 감사 과정에서 상당수의 보안 취약점이 이미 발견됐다고 밝혔다.

다만 구체적으로 얼마나 많은 정부 코드가 분석됐는지, 발견된 취약점의 유형과 심각도는 공개되지 않았다.

앤트로픽은 이번 사업과 관련한 질의에 별도의 입장을 내놓지 않았다. CISA 역시 지난달 관련 내용을 확인하겠다고 밝혔지만 이후 추가적인 답변은 하지 않았다.

▲ 백악관과 갈등 속에서도 정부 기관 채택 이어져

앤트로픽은 현재 미국 증권시장 상장을 비공개로 추진하고 있지만, 최근 미국 정부와의 관계는 순탄치 않았다.

지난 2월 앤트로픽은 AI가 자율무기나 국내 감시 목적으로 활용되지 않도록 설계된 안전장치를 제거하라는 정부 요구를 거부했다.

이에 미국 국방부는 앤트로픽을 공급망 위험(Supply Chain Risk) 지정 대상으로 분류했다.

해당 지정은 그동안 해외 정보기관과 연계됐거나 스파이 활동 지원이 의심되는 해외 기업에 주로 적용됐던 조치라는 점에서 업계에 큰 충격을 안겼다.

그러나 법원이 지난 3월 해당 조치의 효력을 중단시키면서 갈등은 일단락됐고, 이후 미토스가 비공개 형태로 정부 기관에 제공되면서 양측 관계도 다소 완화된 것으로 전해졌다.

▲ '취약점 탐지 특화' 미토스…정보기관도 성능 검증

미토스는 사이버 보안 취약점을 탐지하고 이를 실제로 악용하는 방식까지 분석할 수 있는 고성능 AI 모델로 평가받고 있다.

미국 인터넷 매체 악시오스(Axios)는 국가안보국(NSA)이 공급망 위험 지정 이후에도 지난 4월부터 미토스를 활용해 왔다고 보도했다.

뉴욕타임스도 지난달 NSA 분석관들이 기밀 환경에서 미토스를 시험한 결과 성능에 높은 평가를 내렸다고 전했다.

이는 미국 정보기관들이 생성형 AI를 단순한 업무 지원 도구를 넘어 실제 국가 안보와 사이버 방어 역량 강화에 활용하고 있음을 보여주는 사례로 분석됐다.

▲ 공개 버전은 해외 차단 논란…AI 안보 규제 변수 부상

반면 미토스의 공개 버전인 '페이블(Fable)'은 새로운 규제 논란을 불러왔다.

앤트로픽은 공개 모델에 사이버 보안 안전장치를 추가했다고 설명했지만, 백악관은 외국 사용자의 접근을 차단할 것을 요구한 것으로 알려졌다.

이 조치로 페이블 서비스는 전 세계적으로 일시 중단됐으며, 해당 제한은 지난주에야 해제됐다.