사이버보안은 이제 Proof of Work처럼 작동한다

Anthropic의 LLM Mythos가 복잡한 네트워크 공격 시뮬레이션에서 인간보다 빠르고 정밀하게 움직이며, 사이버보안의 비용 구조가 바뀌고 있다는 논지를 제시한다.

AI Security Institute(AISI)의 평가에서 Mythos는 32단계 기업 네트워크 공격 시뮬레이션인 The Last Ones를 10회 중 3회 완주했다. 테스트에선 시도당 **1억 토큰(약 12,500달러)**이 사용됐고, 여러 모델 중 실제로 전체 공격을 끝낸 모델은 Mythos뿐이었다. 또한 토큰 예산이 늘어날수록 성능이 개선되는 경향이 관찰됐다.

핵심 주장:

• 보안은 이제 창의성보다 자원 투입량의 문제로 수렴한다.
• 공격자가 투입한 토큰보다 더 많은 토큰을 써야 방어가 가능한 구조라서, 암호화폐의 Proof of Work와 비슷해진다.
• 추론 효율이 좋아져도, 공격 가치가 큰 대상일수록 방어 비용은 쉽게 줄지 않는다.

이 흐름은 LiteLLM, Axios 같은 공급망 공격 이후 더 부각됐고, 일부에서는 오픈소스 의존성을 LLM으로 대체하거나, 코드에 더 많은 토큰을 투입해 하드닝을 강화하자는 방향까지 나오고 있다. Karpathy의 “의존성 재평가” 발언도 이 논의에 힘을 보탠다.

개발 프로세스도 바뀔 수 있다. 지금의 개발 → 코드 리뷰 흐름에 더해, 앞으로는 개발 → 리뷰 → 하드닝 단계가 일반화될 수 있다는 전망이다. 마지막 단계에서는 예산이 허용하는 한도까지 자동 취약점 탐색을 돌리고, 보안 강화의 한계는 기술보다 비용이 결정하게 된다.

댓글 맥락에선 이 주장에 대한 반론과 보완도 나왔다. 방어자는 소스 전체를 통제할 수 있어 PR 단위 스캔처럼 더 효율적으로 대응할 수 있고, 공격자는 매번 새로운 체인을 완성해야 하므로 비용 비대칭성이 존재한다는 점이 지적됐다. 반대로 공격자는 단 하나의 취약점만 찾으면 되므로 규모의 경제가 공격에 유리하다는 반론도 있었다.

결국 이 글은 AI 시대의 보안을 토큰과 예산의 경쟁, 그리고 개발 과정에 보안을 끼워 넣는 하드닝 중심 워크플로우의 문제로 재해석한다.