앤스로픽의 AI 보안 도구는 인간이 놓친 500개의 버그를 찾아냈고 월가는 공황에 빠졌다

앤스로픽은 소프트웨어의 취약점을 스캔하고 수정을 권장하는 새로운 도구인 '클로디아 코드 보안(Claude Code Security)'의 제한된 연구 미리보기를 출시했다. 이는 사이버 방어를 위해 인공지능을 사용하는 데 있어 중요한 한 걸음이며 사이버보안 산업에 충격파를 보내고 있다.

앤스로픽의 클로디아 코드 플랫폼에 내장된 이 도구는 이제 기업 및 팀 고객에게 사용 가능하며, 오픈소스 프로젝트 유지관리자에게는 무료 가속 액세스가 제공된다. 샌프란시스코에 본사를 둔 이 AI 회사는 가까운 미래에 AI가 전 세계 코드의 상당 부분을 스캔할 것으로 예상한다고 밝혔다.

기존 보안 도구는 공통 문제 패턴, 노출된 비밀번호 또는 구식 암호화 같은 것들을 통해서만 작동합니다.

Claude Code Security는 패턴 매칭을 넘어섭니다. 이는 시스템 전반에 걸쳐 데이터가 이동하는 경로를 따라가고 표준 스캐너가 간과하는 문제를 포착하는 방식으로, 인간 연구원이 수행하는 것처럼 전체 코드베이스를 통해 작동합니다.e the wa

결과가 개발자에게 표시되기 전에 여러 라운드의 검사를 거치므로 잘못된 방향으로 가는 것을 줄인다. 각 이슈는 또한 심각도에 따라 순위가 매겨지므로 팀은 어디서부터 시작해야 할지 알 수 있다.

이는 Claude Opus 4.6에서 실행되며, Anthropic의 최신 모델로, 회사의 Frontier Red Team이 자체 테스트를 진행해 왔습니다. 그 테스트는 라이브 오픈 소스 코드베이스에 500개 이상의 취약점이 있음을 발견했으며, 그중 일부는 수십 년 동안 존재해 왔으며 전문가들의 수년간 검토 후에도 아무도 발견하지 못했습니다.

앤스로픽은 이제 해당 프로젝트의 책임자들에게 통지하는 과정을 진행 중이라고 밝혔다. 또한 회사는 자체 내부 코드에서 클로디아를 실행했으며 그 결과가 강력했다고 말했다.

분석가들은 반박하지만 시장은 설득되지 않는다

이 뉴스는 사이버보안 투자자들을 충격에 빠뜨렸다. 크라우드스트라이크(CrowdStrike) 주가는 금요일 6.8% 하락했으며, 오키타(Okta)는 9.2% 떨어졌다. 시장은 AI 도구가 기존 보안 기업들의 사업을 잠식할 수 있는지 의문을 제기하기 시작했다.

클라우드플레어(Cloudflare)는 6.7% 하락했고, 세일포인트(SailPoint)는 9.1% 빠졌으며, 팔로알토네트웍스는 1.5% 하락했다. 전 세계 보안 기업을 추종하는 글로벌 엑스 사이버보안 ETF는 그날 종가 기준 거의 5% 적자를 기록했다.

모든 사람이 그 반응을 정당하다고 보지는 않았습니다. 바클레이스 분석가들은 이를 '부조화'라고 부르며, 코드 보안을 위해 구축된 도구가 실제로 크라우드스트라이크나 팔로알토네트웍스 같은 기업들이 수행하는 작업과 맞서 싸우는 것은 아니라고 말했습니다.

하지만 시장을 놀라게 한 것과 분석가들이 가볍게 넘기는 것 사이의 간극은 하나의 확실한 사실과 함께 불편하게 공존한다. 앤스로픽(Anthropic)의 AI가 수년, 심지어 수십 년 동안 인간 전문가의 발견 없이 방치되어 있던 라이브 코드베이스에서 500개 이상의 취약점을 찾아냈다.

분석가들이 그리는 경쟁 경계가 무엇이든, 이 도구는 보안 산업이 혼자서 성취하지 못했던 무언가를 해냈다.

AI 사이버공격 경고가 압력을 가중시킨다

출시 시점에는 그 자체로 불편한 아이러니가 담겨 있다. 현재 보안 방어자로서 포지셔닝되고 있는 클로디아 오퍼스 4.6(Claude Opus 4.6)은 단 며칠 전 디파이 대출 프로토콜 문웰(Moonwell)에서 178만 달러의 손실을 초래한 것으로 비난받았다.

AI가 작성한 코드로 심각한 피해를 입히기 위한 기준은 너무 낮아져 더 이상 공격자가 필요하지 않게 되었다. 보안 전문가들은 수개월 동안 이러한 변화에 대해 경고해 왔다.

앤스로픽은 자체 발표에서 동일한 추세를 인정하며, “경험과 자원이 부족한 그룹이 이제 이러한 대규모 공격을 수행할 가능성이 있다”고 경고했다.

“공격자들은 AI를 사용하여 그 어느 때보다 빠르게 exploitable한 약점을 찾을 것입니다.”라고 회사는 말했다. “하지만 빠르게 움직이는 방어자들은 동일한 약점을 찾아 패치하고 공격의 위험을 줄일 수 있습니다.”

2025년 12월 발표된 내부 연구는 더 나아가, 모델의 이전 버전인 클로디아 오퍼스 4.5(Claude Opus 4.5)가 제한된 인간 개입으로 통제된 환경에서 최대 460만 달러 상당의 스마트 계약 취약점을 독립적으로 식별하고 악용할 수 있음을 보여주었다.

회사는 자신의 모델이 양날의 검이 될 수 있음을 인지하고 있었다. 클로디아 코드 보안은 이에 대한 회사의 답변이다. 동일한 기능을 취해 공격자가 먼저 도달하기 전에 방어자들의 손에 쥐어주는 것이다.

앤스로픽의 경쟁사 오픈AI(OpenAI)는 작년 10월 자체 자동화 보안 도구인 아다바크(Aardvark)를 출시했으며, 이는 AI 기반 보안이 경쟁의 장이 되고 있음을 시사한다.