AI가 취약점을 찾고 공동 대응이 고친다: Glasswing과 Akrites의 연결 구조

조회 198좋아요 0

병원, 은행, 통신망과 공공기관의 시스템은 수많은 오픈소스 소프트웨어 위에서 작동합니다. 오픈소스는 누구나 코드를 살펴보고 함께 개선할 수 있는 소프트웨어입니다. 문제는 중요한 프로그램을 몇 명의 유지관리자가 책임지는 경우가 많다는 점입니다. 유지관리자는 건물 관리인처럼 오류 신고를 확인하고 수리하며 새 버전을 배포하는 사람입니다.

AI가 코드를 읽는 능력이 커지면서 상황이 달라졌습니다. 예전에는 숙련된 보안 전문가가 몇 주 동안 찾아야 했던 보안 취약점, 즉 소프트웨어의 잠금장치가 약해진 부분을 AI가 짧은 시간에 대량으로 찾아낼 수 있게 됐습니다. 이제 문제는 “얼마나 빨리 찾느냐”에서 끝나지 않습니다. 쏟아지는 보고가 진짜인지 확인하고, 같은 보고를 합치고, 원 개발자와 안전하게 고치고, 사용자들이 업데이트할 시간을 확보한 뒤 공개해야 합니다.

이 변화 속에서 등장한 두 프로그램이 Project Glasswing과 Akrites입니다. 둘을 경쟁하는 보안 제품으로 보면 핵심을 놓칩니다. Glasswing은 숨은 균열을 빠르게 찾아내는 고성능 검사 장비에 가깝고, Akrites는 여러 검사 보고를 한곳에서 확인해 수리와 공개 일정을 조정하는 공동 상황실에 가깝습니다. 발견과 대응이 연결될 때 비로소 방어가 완성됩니다.

먼저 알아둘 점: 둘 다 일반 사용자가 설치하는 앱은 아니다

Glasswing과 Akrites는 바이러스 백신처럼 내려받아 설치하는 프로그램이 아닙니다.

Project Glasswing은 Anthropic이 2026년 4월 시작한 협력 프로그램입니다. Amazon Web Services, Apple, Google, Microsoft, NVIDIA, Linux Foundation 등 여러 조직이 참여해 강력한 AI 모델인 Claude Mythos Preview를 방어 목적으로 활용합니다. Linux Foundation이 참여하고 오픈소스 생태계를 지원하지만, Linux Foundation의 단독 프로젝트는 아닙니다.

Akrites는 Linux Foundation이 2026년 6월 발표한 공동 대응 프로그램입니다. 새로운 AI 모델을 만드는 사업이 아니라, 여러 조직이 찾아낸 취약점을 안전하게 접수하고 검증하고 수정하고 공개하도록 조정하는 체계입니다.

따라서 두 프로그램을 “어느 제품이 더 좋은가”라고 비교하는 것은 맞지 않습니다. Glasswing은 주로 발견 능력을 확장하고, Akrites는 발견 이후의 공동 대응 능력을 확장합니다.

Project Glasswing이란 무엇인가

Glasswing의 출발점은 강력한 AI가 공격자에게 넘어가기 전에 방어자가 먼저 중요한 소프트웨어를 점검해야 한다는 판단입니다. Anthropic은 공개하지 않은 고성능 모델 Claude Mythos Preview가 주요 운영체제와 웹브라우저를 포함한 소프트웨어에서 많은 심각한 취약점을 찾아냈다고 설명합니다.

2026년 5월 Anthropic은 약 50개 파트너가 Mythos Preview를 사용해 중요 소프트웨어에서 1만 건이 넘는 높음 또는 치명적 수준의 취약점을 발견했다고 발표했습니다. 이 수치는 Anthropic의 자체 집계이며, 아직 공개 전에 수정 중인 문제가 포함되어 있어 구체적인 내용은 제한적으로만 공개됩니다. 6월에는 전력, 수도, 의료, 통신과 하드웨어 분야 등을 포함한 약 150개 조직으로 참여 범위를 확대한다고 발표했습니다.

Glasswing의 중요한 특징은 속도만이 아닙니다. AI가 코드 전체 지도를 만들고, 공격받기 쉬운 곳을 우선순위로 정하고, 여러 하위 에이전트가 나누어 검사하고, 발견 내용을 정리하고, 패치 후보까지 제안하는 작업 구조를 갖추려 한다는 점입니다.

Glasswing의 구조를 쉬운 말로 풀어보면

Glasswing의 작업은 대략 다섯 단계로 이해할 수 있습니다.

1. 중요한 검사 대상을 고른다

모든 소프트웨어를 한꺼번에 검사할 수는 없습니다. 병원, 금융, 에너지, 통신처럼 사고가 났을 때 피해가 큰 분야에서 널리 쓰는 운영체제, 브라우저, 라이브러리와 기반 프로그램을 우선합니다.

2. 코드의 지도를 만든다

AI는 코드가 어떻게 연결되는지 살펴보고 중요한 기능, 외부 입력이 들어오는 지점, 권한이 바뀌는 지점과 공격자가 노릴 만한 부분을 정리합니다. 공식 자료에서는 이를 위협 모델 작성과 코드베이스 매핑으로 설명합니다.

3. 여러 AI 작업자가 나누어 검사한다

하네스라고 부르는 실행 틀이 여러 스캔 하위 에이전트를 움직입니다. 쉽게 말해 한 명의 검사원이 건물 전체를 보는 대신 여러 검사원이 전기, 출입문, 창고와 비상구를 나누어 확인하는 방식입니다.

4. 발견 후보를 분류하고 보고서를 만든다

AI가 이상해 보이는 코드를 찾았다고 해서 모두 실제 취약점은 아닙니다. 오해한 결과와 중복 보고를 줄이고, 어떤 조건에서 문제가 되는지와 영향이 어느 정도인지 정리해야 합니다.

5. 고칠 방법도 제안한다

Glasswing 참여 조직은 AI를 취약점 발견뿐 아니라 패치 작성과 출시 전 점검에도 활용합니다. 패치는 소프트웨어의 약한 부분을 고치는 수정 파일입니다. 다만 AI가 제안한 패치를 그대로 배포하는 것이 아니라 사람이 검토하고 시험해야 합니다.

강한 사이버 능력은 방어와 공격에 모두 쓰일 수 있습니다. 그래서 Mythos Preview는 현재 누구나 내려받을 수 있는 모델이 아니며, 보안 요건을 충족한 파트너에게 제한적으로 제공됩니다.

Akrites란 무엇인가

Akrites의 출발점은 “발견 속도가 대응 속도를 앞질렀다”는 문제의식입니다. AI가 같은 오픈소스를 반복해서 검사하면 한 주에 다섯 조직이 같은 취약점을 서로 다른 표현으로 신고할 수 있습니다. 유지관리자는 어느 보고가 진짜인지 확인하느라 시간을 잃고, 여러 조직이 서로 먼저 공개하려 경쟁하면 패치가 준비되기 전에 공격자에게 정보가 알려질 수도 있습니다.

Akrites는 이를 해결하기 위해 공동 보안사고 대응팀을 둡니다. 영어 약자인 SIRT는 보안 문제를 접수하고 사실 여부를 확인하고 수정과 공개를 조정하는 전담팀을 뜻합니다. 유지관리자는 수백 개의 제각각인 신고 창구 대신 하나의 예측 가능한 파트너와 협력할 수 있습니다.

이름은 비잔틴 제국의 변경 지역을 지키던 수호자 Akritai에서 왔습니다. 오늘날의 변경은 수많은 서비스가 의존하지만 지원 인력은 부족한 원본 오픈소스 프로젝트라는 의미입니다.

Akrites의 네 단계 대응 구조

Akrites 공식 문서는 취약점 하나가 다음 네 단계를 거친다고 설명합니다.

1. 접수

회원 조직이나 외부 발견자가 취약점 보고를 공동 대응팀에 전달합니다. 여기서 외부 발견자에는 Glasswing 같은 프로그램도 포함될 수 있습니다. 처음부터 정보 열람자를 사건 담당팀으로 제한해 패치 전 유출 위험을 줄입니다.

2. 중복 제거와 검증

같은 취약점을 설명한 여러 보고를 하나의 사건으로 합칩니다. 실제로 공격 가능한 문제인지, 피해가 어느 정도인지, 누가 대응을 맡을지를 확인합니다. 이 단계가 없으면 유지관리자가 같은 문제를 여러 번 조사하게 됩니다.

3. 수정과 시험

원본 오픈소스 프로젝트의 유지관리자와 참여 기업의 엔지니어가 수정안을 만들고 시험합니다. 중요한 원칙은 패치가 별도의 회사용 복사본에만 머무르지 않고 원래 프로젝트, 즉 업스트림으로 돌아가는 것입니다. 그래야 그 소프트웨어를 사용하는 모든 사람이 같은 수정 혜택을 받을 수 있습니다.

4. 시점을 맞춘 공개

취약점 설명, 패치와 보안 공지를 하나의 조정된 기간 안에서 공개합니다. 사용자와 중요 기반시설 운영자가 먼저 업데이트할 시간을 확보하고, 공격자가 패치 내용을 분석해 공격 도구를 만들기 전에 노출 시간을 줄이는 것이 목적입니다.

Akrites는 이러한 절차를 비밀 유지 우선 원칙과 업계 표준 도구 위에서 운영합니다. 유지관리자가 활동을 중단한 중요 프로젝트에는 최후의 유지관리자 역할을 맡아 최신 버전에 수정이 도달하도록 지원하겠다는 방침도 밝혔습니다.

둘은 어떻게 연결되는가

두 프로그램을 하나의 흐름으로 놓으면 역할이 명확해집니다.

흐름	Glasswing의 역할	Akrites의 역할
검사 대상 선정	중요한 코드와 공격 가능 지점을 우선순위화	산업별로 중요한 공동 의존성을 조정
취약점 발견	AI로 대규모 분석과 후보 발견	여러 발견자의 보고를 한 창구로 접수
사실 확인	재현 근거와 영향 보고서 작성 지원	중복 제거, 실제 영향 검증, 담당 지정
수정	패치 후보 작성과 사전 검사 지원	유지관리자와 수정·시험 과정 조정
공개와 배포	발견 경험과 방어 방법 공유	패치, 보안 공지와 공개 시점을 맞춤

가장 중요한 연결은 Glasswing 같은 발견자가 Akrites의 접수 창구로 결과를 보낼 수 있다는 점입니다. Akrites 공식 사이트는 Glasswing, MITRE/CVE, Lightwell, FIRST 등을 연동 가능한 외부 발견 노력으로 직접 언급합니다.

다만 현재 공개 자료만으로 모든 Glasswing 결과가 Akrites에 자동 전달된다고 말할 수는 없습니다. 공식적으로 확인되는 것은 Akrites가 Glasswing 같은 발견 프로그램의 보고를 받아 조정할 수 있도록 설계됐다는 사실입니다. 따라서 둘의 관계는 이미 완성된 단일 자동화 제품이라기보다, 발견과 대응을 연결할 수 있는 상호보완 체계로 이해하는 것이 정확합니다.

왜 Glasswing만으로는 부족한가

발견 능력만 커지면 유지관리자에게 더 큰 부담을 줄 수 있습니다. AI는 같은 문제를 여러 표현으로 신고하거나, 실제 문제가 아닌 내용을 확신에 찬 문장으로 보고할 수 있습니다. 패치 전 취약점 정보를 너무 많은 조직이 알게 되면 유출 가능성도 커집니다.

Glasswing 자체도 분류, 보고와 패치 작성을 지원하지만, 서로 다른 기업과 연구기관의 발견을 한 사건으로 합치고 원 프로젝트 유지관리자와 공개 시점을 맞추는 중립적 공동 창구가 필요합니다. 그 역할을 Akrites가 맡을 수 있습니다.

왜 Akrites만으로는 부족한가

공동 상황실이 있어도 실제 위험을 빠르게 발견할 검사 능력이 부족하면 대응은 시작되지 않습니다. 수많은 오픈소스 프로젝트와 버전을 사람이 일일이 검토하는 데는 한계가 있습니다.

Glasswing 같은 AI 기반 발견 프로그램은 조사 범위를 넓히고 우선순위를 정하며 패치 후보까지 만드는 속도를 높입니다. Akrites가 처리할 수 있는 신뢰도 높은 입력을 제공하는 발견자가 많아질수록 공동 대응 체계도 더 효과적으로 작동할 수 있습니다.

실제 활용 장면 1: 병원이 사용하는 공통 소프트웨어

여러 병원의 시스템이 같은 오픈소스 영상 처리 프로그램을 사용한다고 가정해 봅시다. Glasswing 참여 조직의 AI 검사가 숨은 취약점 후보를 찾고 재현 조건과 패치안을 정리합니다.

Akrites는 다른 기업도 같은 문제를 신고했는지 확인해 하나의 사건으로 합칩니다. 공동 대응팀은 원 프로젝트 유지관리자와 패치를 시험하고, 병원 운영사들이 업데이트를 준비할 시간을 고려해 공개 날짜를 맞춥니다. 한 병원만 임시로 고치는 것이 아니라 원본 프로젝트가 수정되므로 다른 병원도 보호받습니다.

실제 활용 장면 2: 같은 보고가 여러 곳에서 들어올 때

은행, 클라우드 회사와 보안 업체가 모두 같은 라이브러리를 AI로 검사하면 같은 취약점을 각각 찾을 수 있습니다. 세 조직이 따로 공개하면 유지관리자는 세 번 설명하고 세 개의 패치를 비교해야 합니다.

Akrites의 공동 접수와 중복 제거를 이용하면 하나의 사건, 하나의 수정안, 하나의 공개 일정으로 정리할 수 있습니다. Glasswing의 빠른 발견이 혼란으로 끝나지 않고 실제 수정으로 이어지는 장면입니다.

우리 조직은 어떻게 준비해야 하나

대부분의 조직은 Glasswing이나 Akrites를 당장 설치할 수 없습니다. 그러나 두 프로그램이 보여주는 구조는 내부 보안 운영에 적용할 수 있습니다.

우리가 실제로 사용하는 오픈소스를 먼저 파악한다

우리 서비스가 어떤 운영체제, 라이브러리와 데이터 처리 도구에 의존하는지 목록을 만듭니다. 이름만 모으지 말고 어느 서비스가 어느 버전을 사용하는지와 장애가 나면 어떤 업무가 멈추는지를 연결해야 합니다.

발견 건수보다 처리 시간을 측정한다

AI 검사 도구가 취약점 1만 건을 찾았다는 숫자만 보면 안 됩니다. 실제 취약점으로 검증하는 데 걸린 시간, 패치를 만드는 시간, 운영 시스템에 적용한 비율과 공개 전에 보호한 시스템 수를 관리해야 합니다.

하나의 비공개 신고 창구를 만든다

보안 취약점을 공개 게시판이나 일반 이메일로 받으면 패치 전에 정보가 퍼질 수 있습니다. 프로젝트에 보안 정책 문서와 비공개 신고 방법을 만들고, 같은 보고를 합치고 담당자를 정하는 절차를 준비합니다.

AI 패치는 사람과 시험 환경을 거친다

AI가 만든 수정안은 출발점입니다. 유지관리자와 보안 담당자가 코드를 검토하고, 기존 기능이 깨지지 않는지 시험하고, 실제 운영 환경에 단계적으로 배포해야 합니다.

공개와 업데이트 배포를 하나의 계획으로 묶는다

보안 공지를 먼저 내고 패치를 나중에 배포하면 공격자에게 시간을 줄 수 있습니다. 수정 파일, 사용자 안내, 중요 시스템 업데이트와 공개 시점을 함께 계획해야 합니다.

앞으로의 핵심은 더 많이 찾는 AI가 아니라 끝까지 고치는 체계다

Glasswing은 AI가 소프트웨어 보안의 발견 속도를 얼마나 크게 바꿀 수 있는지를 보여줍니다. Akrites는 발견 속도가 빨라진 시대에 검증, 수정과 공개를 어떻게 공동 인프라로 만들어야 하는지를 제안합니다.

둘의 역할은 겹치는 부분이 있지만 충돌하지 않습니다. Glasswing은 레이더와 정밀 검사 장비에 가깝고, Akrites는 관제센터와 공동 수리반에 가깝습니다. 레이더만 있고 출동 체계가 없으면 경보가 쌓이고, 관제센터만 있고 센서가 부족하면 위험을 늦게 발견합니다.

AI 시대의 오픈소스 보안은 “AI가 취약점을 몇 개 찾았는가”로 평가할 수 없습니다. 중요한 것은 발견이 검증으로 이어지고, 검증이 패치로 이어지고, 패치가 원 프로젝트와 실제 사용자에게 도달하는가입니다. Glasswing과 Akrites를 함께 봐야 하는 이유가 여기에 있습니다.