AI 통제 거버넌스 마련 시급…미토스 쇼크로 금융권 비상

AI의 위험성 적나라하게 드러낸 '미토스 쇼크'

3월 26일 CMS 환설정 오류로 공개된 후 4월 8일 공식 출시된 Anthropic의 Claude Mythos는 금융권과 정책 입안자들에게 경고음을 울렸습니다. 사이버보안 주식들은 극심한 낙폭을 보였으며, CrowdStrike는 7.5%, Palo Alto Networks는 6%, Zscaler와 Okta는 5~8% 하락했습니다.

Claude Mythos는 Anthropic이 개발한 가장 고급 AI 모델입니다. 그 위력은 놀랍습니다. 27년 된 OpenBSD의 정수 오버플로우 취약점, FFmpeg의 16년 된 결함, 그리고 현재 사용 중인 모든 주요 운영 체제와 브라우저의 제로데이 취약점을 발견했습니다. 자율적으로 작동 가능한 악성 코드까지 생성하는 능력은 83.1%의 성공률을 기록합니다.

더 심각한 것은 이 모델의 속도입니다. 제한된 환경에서 다중 단계 공격을 실행하고 취약점을 자율적으로 발견·악용하는 작업을 수행했으며, 이는 인간 전문가의 며칠 작업을 완료합니다.

금융권이 들고일어나다

중앙은행 총재, 재무장관 등 금융계 최상층이 IMF 회의에서 미토스를 광범위하게 논의했으며, 캐나다 재무장관 프랑수아-필리프 샹파뉴는 BBC와의 인터뷰에서 모든 재무장관의 관심이 필요할 만큼 심각하다고 언급했습니다.

Scott Bessent 미국 재무부 장관과 Jerome Powell 연방준비제도 의장은 금융 부문 지도자들에게 내부 위험 평가를 위해 이 도구를 활용하도록 권고했습니다. 이는 단순한 권고가 아닙니다. 금융 시스템 자체가 위협받고 있기 때문입니다.

항공·원자력 수준의 '사전 거버넌스' 절실

Anthropic의 대응은 업계에 새로운 패러다임을 제시했습니다. Project Glasswing이라는 연합을 통해 Amazon Web Services, Apple, Broadcom, Cisco, Google, Microsoft, NVIDIA 등 12개 주요 파트너에게만 통제된 방어용 접근을 제공한 것입니다.

전문가들은 이를 역사적 선례로 평가합니다. 이는 AI를 항공 및 원자력 시스템처럼 대규모 배포 전에 안전성·통제·감시가 확립되어야 하는 기술 범주에 배치한 신호입니다. 반응형 위기 관리에서 예측적 거버넌스로의 전환을 표시하며, AI 기업들이 단순 기술 제공자가 아닌 자신의 시스템 위험 관리자가 되어야 함을 의미합니다.

규제 프레임워크의 긴급성

규제 환경도 급변하고 있습니다. EU AI Act는 8월 2026년 전면 시행되며, 미국 연방 정부가 준비한 것보다 명확한 AI 거버넌스 체계를 제공합니다. EU AI Act의 다음 단계는 8월 2일 2026년 시행되며, 모든 고위험 AI 시스템에 대한 사이버보안 요구사항과 글로벌 수익의 최대 3%의 과징금을 규정합니다.

그러나 전문가들은 시간이 부족하다고 경고합니다. 현재 기능 개발 궤적이 계속되면 미토스보다 상당히 더 강력한 시스템이 12~18개월 내 개발될 수 있으며, 기술이 제도적 통제 역량을 앞지르기 전에 적절한 거버넌스 체계를 수립할 시간은 수년 단위로 측정됩니다.

선제적 거버넌스의 필요성

사이버보안, AI 거버넌스, 위기 관리는 더 이상 분리된 분야가 아니며, 자율성·확률적·고영향 시스템을 다룰 수 있는 통합 디지털 위험 거버넌스 체계로 통합되어야 함을 강조합니다.

모델 수준에서 독립적인 검증과 구조화된 적대적 시나리오 테스팅이 필수화되어야 하며, AI 개발자·보안 연구자·규제 기관·산업 간 협력이 강화되어야 한다는 게 전문가들의 지적입니다.

미토스는 단순한 기술 혁신이 아닙니다. 이는 AI 거버넌스의 임계점입니다. 금융권의 우려, 정부의 긴급 회의, 규제 기관의 재평가 모두 같은 신호를 보내고 있습니다. 강력한 AI 통제 체계 없이는 금융·국가 안보·사회 인프라 전체가 취약해질 수 있다는 경고입니다.

---

기자: 류상욱