Claude Mythos Preview의 사이버 보안 역량 평가

Anthropic이 새로운 범용 언어 모델인 Claude Mythos Preview를 발표했다. 이 모델은 일반적인 성능도 뛰어나지만, 특히 사이버 보안 작업에서 놀라운 능력을 보여준다. Anthropic은 이에 대응해 소프트웨어 보안 강화 및 산업계 대비를 위한 Project Glasswing을 시작했다.

Claude Mythos Preview는 주요 운영체제(OS)와 웹 브라우저에서 제로데이(zero-day) 취약점을 찾아내고 이를 익스플로잇(exploit)할 수 있다. 테스트 과정에서 보안이 강력하기로 유명한 OpenBSD의 27년 된 버그를 찾아내는 등 매우 정교한 공격이 가능함을 입증했다.

주요 보안 역량은 다음과 같다:

• 샌드박스 탈출: 4개의 취약점을 체이닝하여 렌더러와 OS 샌드박스를 모두 탈출하는 복잡한 JIT heap spray 구현.
• 권한 상승: Linux 등에서 레이스 컨디션(race condition)과 KASLR-bypass를 이용해 로컬 권한 상승 익스플로잇을 자율적으로 생성.
• 원격 코드 실행(RCE): FreeBSD NFS 서버에서 ROP 체인을 활용해 인증되지 않은 사용자에게 루트 권한을 부여하는 RCE 구현.

보안 전문가가 아닌 엔지니어도 이 모델을 활용해 하룻밤 사이에 작동 가능한 RCE 취약점 익스플로잇을 확보할 수 있을 만큼 강력하다. 이는 자율적 익스플로잇 개발 성공률이 0%에 가까웠던 Opus 4.6과는 차원이 다른 수준이다.