Anthropic의 이번 발표는 사이버 보안의 중요한 질문을 새롭게 제기합니다. 최첨단 생성형 모델의 오용을 부추기지 않으면서 방어에 활용하려면 어떻게 해야 할까요? 사이버 미션은 두 가지 구체적인 서비스를 제공합니다. OSS Scanner는 등록된 오픈소스 프로젝트에 정기적으로 모델이 생성한 취약점 보고서를 직접 전달합니다. 보고서에는 개념 증명과 권장 패치가 포함되며, 속도를 우선하기 위해 의도적으로 사람의 검토 없이 발송됩니다. 한편 핵심 인프라 방어 프로그램(CIDP)은 기존 OT 업체 및 보안 기업들과 협력해 모델, 위협 연구, 현장 엔지니어링을 제공함으로써 전력망, 수자원 시스템, 교통망의 보안을 강화합니다.
오픈소스 유지관리자에게 가장 큰 장점은 즉각적인 대응입니다. 기계가 생성한 결과를 빠르게 받아보고 수정 제안까지 확인할 수 있어, 취약점 발견부터 해결까지 걸리는 시간을 크게 줄일 수 있습니다. Anthropic은 실제 취약점을 정확히 찾아내는 비율이 90%를 넘을 것으로 기대하며, 수정 제안의 품질도 계속 개선할 계획입니다. 하지만 검토되지 않은 모델 생성 보고서는 유지관리자의 업무 방식에도 변화를 요구합니다. 팀은 더 많은 보고서를 분류하고, 악용 가능성을 신속히 검증하며, 자동 또는 반자동 패치 절차를 마련해야 합니다. 알림 증가에 대응하기 어려운 프로젝트에는 사람이 검증하는 기존의 취약점 공개 절차를 이용하는 편이 좋습니다. Anthropic은 기존 프로그램을 통한 협조 공개도 계속할 예정입니다.
운영 기술(OT) 환경은 제약과 위험의 성격이 다릅니다. CIDP 협력사인 시스템 통합업체, 보안 기업, 장비 제조업체는 운영자가 안전한 방식으로 수정 사항을 적용할 때 의지하는 신뢰할 수 있는 중개자입니다. Anthropic은 현실적인 접근법을 택했습니다. 소규모 참여 그룹으로 시작해 모델을 기존 OT 분류 및 변경 관리 절차에 어떻게 접목할지 파악한 뒤, 적절한 범위에서 확대하는 방식입니다. 이 프로그램은 장기간 사용하는 장비, 제한된 유지보수 시간, 잘못되거나 시기가 부적절한 패치가 초래할 심각한 결과 등 OT 환경의 현실을 고려합니다.
더 큰 시사점은 방어 작업도 기계의 속도로 진행할 수 있지만, 이를 위해서는 새로운 검증 단계가 필요하다는 것입니다. 모델이 생성한 결과는 취약점 발견을 앞당기는 동시에 검증 병목과 오탐을 일으킬 수 있습니다. 이는 제한된 유지관리자 시간을 낭비하게 하거나, 더 심각하게는 취약한 OT 시스템에 성급한 패치를 적용하게 만들 수 있습니다. 이러한 도구를 활용하려는 조직은 분류, 자동 테스트, 우선순위에 따른 배포, 검증되지 않은 취약점 정보를 책임 있게 공유하기 위한 법적·협조 절차를 새롭게 마련해야 합니다.