사이버보안은 이제 proof of work처럼 보인다

Anthropic의 Mythos는 컴퓨터 보안 작업에서 매우 뛰어난 성능을 보이며, 공개 대신 일부 중요 소프트웨어 제작자에게만 제한적으로 제공됐다.

AISI의 3rd-party 평가도 Anthropic의 주장을 대체로 뒷받침했다. 특히 The Last Ones라는 32단계 기업 네트워크 공격 시뮬레이션에서 Mythos는 10번 중 3번 과제를 완주했다. 이 과제는 인간 기준으로 약 20시간이 걸리는 것으로 추정된다.

핵심 해석은 단순하다. 보안을 강화하려면 공격자가 익스플로잇을 찾는 데 쓰는 것보다 더 많은 토큰과 비용을 써야 한다는 점이다. AISI는 각 시도에 1억 토큰을 배정했고, Mythos 1회 시도는 약 $12,500 수준이었다. 10회 전체는 $125,000였다.

더 우려되는 점은, 1억 토큰 범위 안에서는 어느 모델도 명확한 diminishing returns를 보이지 않았다는 것이다. 즉, 예산을 더 넣으면 더 찾을 수 있는 여지가 남아 있다는 뜻이다.

이 글이 제시하는 함의는 세 가지다.

• open source software의 중요성은 더 커진다. 널리 쓰이는 OSS는 공격자에게도 가치가 크지만, 동시에 대규모 방어 투자로 더 단단해질 수 있다.
• agentic coder의 작업 흐름에 hardening 단계가 추가될 가능성이 크다.
• 앞으로의 표준 파이프라인은 development → review → hardening의 3단계로 굳어질 수 있다.

특히 마지막 단계는 인간의 의사결정보다 예산이 더 직접적인 제한이 된다. 코드 자체는 여전히 싸지만, 보안이 필요한 순간 비용 구조가 완전히 달라진다.