사이버 보안은 작업 증명이다: 누가 토큰을 더 많이 쓰는가

사이버 보안은 컴퓨팅의 문제가 되어 가고 있습니다. 영국 AI Security Institute의 공격 레인지에서 최상위 모델들은 토큰을 더 쓸수록 계속 진전을 보였고, Drew Breunig의 해석에 따르면 이는 방어를 공격자보다 더 많이 쓰는 경쟁으로 만듭니다. 2026년 4월, Claude Mythos Preview라는 단 하나의 모델이 연구소의 32단계 기업 네트워크 공격 레인지를 10번 중 3번 완주했습니다.¹ 7월까지 AISI는 이 레인지를 완주한 공개 출시 클로즈드 웨이트 모델을 네 개로 집계했고, 그중 최고 성적은 10번 중 6번과 7번이었습니다. 여기에 오픈 웨이트 모델인 Kimi K3도 10번 중 1번 완주했습니다.⁷ Breunig의 해석이 깔고 있는 전제, 즉 최상위 모델에서는 토큰을 더 쓸수록 더 많은 진전을 얻는다는 점은 지금도 유효합니다. 하지만 그가 시도 한 번에 매긴 가격은 그렇지 않습니다.²

이 글은 AISI의 첫 보고서가 나온 다음 날인 2026년 4월 14일에 처음 게시했습니다. 2026년 10월 2일, 그 뒤로 AISI, NIST의 CAISI, Anthropic이 발표한 내용을 바탕으로 글을 다시 썼습니다. 4월 버전에 무엇을 썼고 어디가 낡았는지는 끝부분의 “4월 버전에 쓴 내용”에 정리했습니다.

TL;DR

• 레인지. “The Last Ones”는 기업 네트워크 공격을 시뮬레이션한 것으로, 네 개의 서브넷과 약 20대의 호스트에 걸친 32단계로 이루어져 있습니다. AISI는 사람 전문가라면 약 20시간이 걸릴 것으로 추정합니다. 초기 접근 이후부터 시작하며 방어자는 없습니다.¹⁴
• 누가 완주했는가. 4월에는 모델 하나. 4월 말까지 둘. 7월 23일까지는 공개 출시 클로즈드 웨이트 모델 네 개와 오픈 웨이트 모델 하나입니다.¹⁴⁷
• 한 번 실행하는 비용. Breunig가 말한 시도당 12,500달러는 추정치였습니다. AISI의 1억 토큰 예산에 Mythos Preview의 출력 가격을 곱한 값입니다. AISI가 7월에 1억 토큰 레인지 실행의 가격을 매겼을 때, Opus 4.5와 4.6은 약 85달러, 오픈 웨이트인 GLM-5.2는 추정 46달러였습니다.²⁶¹⁰
• 누가 실행할 수 있는가. AISI는 주요 오픈 웨이트 모델이 사이버 능력에서 클로즈드 프런티어보다 4~7개월 뒤처져 있다고 봅니다. Anthropic의 보고에 따르면, 누구나 내려받을 수 있는 GLM-5.3은 한 공개 벤치마크에서 Mythos Preview와 거의 같은 비율로 엔드투엔드 익스플로잇을 만들어 냅니다.⁶⁹
• 프런티어에는 정체 구간이 없다. 가장 강한 모델들에 대해 AISI의 4월과 5월 보고서는 1억 토큰 한도에서도 성능이 여전히 오르고 있음을 확인했습니다. 약한 모델들은 도중에 멈췄고, 오픈 웨이트인 GLM-5.2도 그중 하나였습니다.¹⁴⁵⁶
• 여전히 유효한 단서. 레인지에는 방어가 없습니다. AISI는 이 능력이 “will translate against defended, real-world systems”(방어되는 실제 시스템에서 어떻게 발휘될지) 알 수 없다고 말합니다.⁵

AISI가 측정한 것, 그리고 그 변화

AISI의 사이버 레인지는 모델이 공격 전체를 혼자 수행할 수 있는지를 시험합니다. SpecterOps와 함께 만든 “The Last Ones”(TLO)는 “modelled on the kill chain of an enterprise intrusion”(기업 침입의 킬 체인을 본뜬) 레인지로, 에이전트는 자격 증명 없이 권한 없는 머신에서 출발해 정찰, 자격 증명 탈취, Active Directory 포리스트를 넘나드는 측면 이동, CI/CD 공급망을 경유한 우회, 내부 데이터베이스 유출을 차례로 이어 가야 합니다. 시도마다 1억 토큰의 예산이 주어집니다.⁴

4월부터 7월까지 나온 다섯 편의 보고서가 그 흐름을 보여 줍니다.

7월 23일 보고서는 현재 상황을 이렇게 정리합니다. “Solves of TLO are no longer exclusive to a small set of models. In prior testing, four publicly released closed-weight models have solved TLO, with the most capable models solving it more reliably at 6/10 and 7/10 attempts.”(TLO를 푸는 것은 더 이상 소수 모델만의 일이 아니다. 이전 테스트에서 공개 출시된 클로즈드 웨이트 모델 네 개가 TLO를 풀었으며, 가장 뛰어난 모델들은 10번 중 6번과 7번으로 더 안정적으로 풀었다.)⁷ 보고서는 이 네 모델의 이름을 밝히지 않으며, 제한적으로 출시된 Mythos Preview가 여기에 포함되는지도 말하지 않습니다.

두 번째 레인지에도 변화가 있었습니다. 4월에는 시뮬레이션된 발전소를 노리는 7단계 공격인 “Cooling Tower”를 완주한 모델이 없었고, AISI는 Mythos Preview가 “got stuck on IT sections of this range”(이 레인지의 IT 구간에서 막혔다)고 적었습니다. 5월 13일 AISI는 새 Mythos Preview 체크포인트가 이를 10번 중 3번 풀었다고 보고하며 “the first time that a model completed the second of our two cyber ranges”(모델이 두 사이버 레인지 중 두 번째를 처음으로 완주한 사례)라고 했습니다. AISI는 여기서 교훈을 끌어냈습니다. “Notable capability jumps do not always require new model releases.”(눈에 띄는 능력 도약에 늘 새 모델 출시가 필요한 것은 아니다.)¹⁴⁵

이 모든 결과 밑에는 두 가지 발견이 깔려 있습니다. 첫째, 최상위 모델에서는 토큰을 더 쓸 때마다 매번 더 많은 진전이 있었습니다. 4월: “Models continue making progress with increased token budgets across the token budgets tested.”(테스트한 토큰 예산 범위 전반에서, 예산을 늘릴수록 모델이 계속 진전한다.) 4월 30일: “we have not yet observed a plateau with the best models.”(최상위 모델에서는 아직 정체 구간을 관찰하지 못했다.) 5월: 성능은 “would likely still improve beyond that budget, especially for recent models”(그 예산을 넘어서도 아마 계속 오를 것이며, 특히 최근 모델에서 그렇다).¹⁴⁵ 다만 모든 모델에 해당하지는 않습니다. 7월에 GLM-5.2는 Opus 4.6과 “to step 11 before stalling”(11단계까지 나란히 가다가 멈췄다).⁶ 둘째, 속도가 빠릅니다. AISI는 2월에 프런티어 모델이 완수할 수 있는 사이버 과제의 길이가 “had doubled every 4.7 months since late 2024”(2024년 말 이후 4.7개월마다 두 배가 되어 왔다)고 추정했고, 5월에는 Mythos Preview와 GPT-5.5가 그 추세를 “substantially exceeded”(크게 넘어섰다)고 보고했습니다.⁵ 이 추정은 과제당 250만 토큰 예산을 기준으로 합니다. AISI의 7월 2일 분석에 따르면 이 추세는 “~60% steeper when horizons are estimated at 50M tokens rather than 2.5M tokens per task”(과제당 250만 토큰이 아니라 5,000만 토큰으로 호라이즌을 추정하면 약 60% 더 가파르다)입니다.¹³

한 번 실행하는 비용

Breunig는 4월 결과를 돈으로 환산했습니다. “AISI budgeted 100M tokens for each attempt. That’s $12,500 per Mythos attempt, $125k for all ten runs.”(AISI는 시도마다 1억 토큰의 예산을 잡았다. Mythos 시도 한 번에 12,500달러, 열 번 전체로는 12만 5,000달러다.)² 이 글의 첫 버전은 그 숫자를 제목에 걸었습니다.

그것은 추정치였고, 그것도 높게 잡은 추정치였습니다. 1억 토큰에 12,500달러는 100만 토큰당 125달러로, Mythos Preview의 출력 토큰 정가입니다. 입력 가격은 25달러입니다.¹⁰ 예산의 모든 토큰을 출력 단가로 계산하면 나오는 것은 상한선이지 청구서가 아닙니다.

AISI는 7월에 오픈 웨이트 모델에 관한 보고서에서 가격을 공개했습니다. “A 100M-token cyber range run cost roughly $85 for both Opus 4.5 and 4.6, versus an estimated $46 for GLM-5.2 and $1.19 for DeepSeek V4-Pro at current pricing.”(1억 토큰 사이버 레인지 실행 비용은 Opus 4.5와 4.6 모두 약 85달러였고, 현재 가격 기준으로 GLM-5.2는 추정 46달러, DeepSeek V4-Pro는 1.19달러였다.)⁶ 이는 “advertised first-party prices”(공시된 퍼스트파티 가격)이며, AISI는 오픈 웨이트 모델에 퍼스트파티 제공업체를 쓰지 않았으므로 “so real compute costs may vary”(실제 컴퓨팅 비용은 다를 수 있다)고 밝힙니다.

이 숫자들을 성공한 공격의 가격으로 볼 수 없는 이유가 세 가지 있습니다. 가격이 매겨진 모델 중 어느 것도 레인지를 완주하지 못했습니다. Mythos Preview의 토큰당 정가는 Opus의 다섯 배이므로, 그 실행은 Opus보다 비쌉니다. 그리고 AISI는 TLO를 완주한 실행의 가격을 하나도 공개하지 않았으므로, 그 비용이 얼마인지 저는 말할 수 없습니다. 가격이 매겨진 실행이 보여 주는 것은 자릿수입니다. Opus 4.6의 실행은 약 85달러였습니다. 이를 Mythos Preview의 다섯 배 정가로 환산하면 수백 달러가 되는데, 이는 AISI가 아니라 제 계산이며 12,500달러에는 한참 못 미칩니다.⁶¹⁰

더 작은 데이터 포인트들도 같은 방향을 가리킵니다. AISI의 4월 30일 보고서에서 GPT-5.5는 숙련된 플레이테스터가 약 12시간 걸린 리버스 엔지니어링 과제를 “in 10 minutes and 22 seconds with no human assistance at a cost of $1.73 (USD) in API usage”(사람의 도움 없이 10분 22초 만에, API 사용료 1.73달러로) 풀었습니다.⁴ Anthropic의 9월 보고서에서는 한 연구자가 GLM-5.3-Flash로 Chrome 수정 사항의 공개 정보를 실제로 작동하는 익스플로잇 체인으로 바꿨는데, 필요했던 것은 “20 minutes of human attention, plus eight hours of work”(사람이 신경 쓴 20분, 그리고 8시간의 작업)였고 그 작업은 모델이 했습니다. “At Zhipu’s API prices, this effort would have cost $20.40.”(Zhipu의 API 가격으로 이 작업은 20.40달러가 들었을 것이다.)⁹ 둘 다 가격이 매겨진 한 번의 세션일 뿐, 비율이 아닙니다.

Mythos급 가격도 내려갔습니다. Anthropic의 가격 페이지는 현재 Mythos 5와 Mythos 5.1을 입력 100만 토큰당 10달러, 출력 100만 토큰당 50달러로 표시하고 있으며, Mythos Preview는 25달러와 125달러였습니다.¹⁰

누가 실행할 수 있는가

4월에는 이 능력이 제한적 출시 뒤에 있었습니다. 가장 크게 바뀐 것이 바로 이 부분입니다.

AISI의 7월 17일 보고서는 사이버 분야에서 오픈 웨이트 모델과 클로즈드 모델의 격차를 측정했고, 그 격차가 좁아지고 있음을 확인했습니다. 최근 오픈 웨이트 모델은 “lag frontier closed models’ cyber capabilities by 4 to 7 months”(프런티어 클로즈드 모델의 사이버 능력에 4~7개월 뒤처진다)이며, 2025년 대부분 기간에는 6~10개월이었습니다. 보고서는 이 격차가 왜 중요한지도 분명히 밝힙니다. 웨이트가 공개되면 “safeguards can be removed, and copies can be downloaded, redistributed, and run on private systems beyond monitoring”(안전장치를 제거할 수 있고, 사본을 내려받아 재배포하고 모니터링이 닿지 않는 사설 시스템에서 실행할 수 있다)는 것입니다. 오픈 웨이트 모델에 대한 AISI 자체 테스트도 “were largely unimpeded by safeguards”(안전장치의 방해를 거의 받지 않았다)고 합니다.⁶

GLM-5.2는 레인지를 완주하지 못했습니다. 6일 뒤 Kimi K3가 10번 중 1번 완주했습니다. AISI와 CAISI는 이를 이 모델이 “is capable of autonomously attacking small, weakly defended and vulnerable enterprise systems, when directed to do so and given initial network access”(지시를 받고 초기 네트워크 접근이 주어지면, 작고 방어가 약하며 취약한 기업 시스템을 자율적으로 공격할 수 있다)는 의미로 읽습니다.⁷

그다음은 GLM-5.3이었습니다. Z.ai(옛 Zhipu AI)는 8월 말에 이 모델의 웨이트를 공개했습니다. CAISI는 9월 17일 이를 “the most cyber-capable open-weight model released to date”(지금까지 공개된 오픈 웨이트 모델 중 사이버 능력이 가장 뛰어난 모델)라고 부르며, 자체 벤치마크에서 미국 프런티어보다 약 4개월 뒤처진다고 평가했습니다.⁸ Anthropic의 Frontier Red Team은 9월 29일, GLM-5.3이 ExploitBench에서 410번 시도 중 50번 엔드투엔드 익스플로잇을 만들어 냈고(Mythos Preview는 56번), Anthropic 내부 벤치마크에서는 시도의 4%에서 완전한 제어 흐름 탈취에 성공했다(Mythos Preview는 6%)고 보고했습니다.⁹

안전장치는 얇습니다. Anthropic은 그럴듯한 핑계로 64%, 미리 채운 추론으로 92%의 비율로 안전장치를 우회했습니다. 웨이트에서 안전장치를 아예 제거하는 데는 “which had never previously attempted this task”(이 작업을 한 번도 시도해 본 적 없는) 팀이 약 2,200 GPU 시간, “roughly $4,400”(약 4,400달러)를 들였고, 경험 있는 팀이라면 1,200달러로 추정됩니다. 그리고 “Several developers released abliterated versions of GLM-5.3 to the public within days of the model’s release.”(모델 출시 며칠 만에 여러 개발자가 GLM-5.3의 abliteration 버전을 공개했다.)⁹ 이 보고서는 Glasswing 글에서 더 자세히 다룹니다.

GLM-5.3을 TLO에서 실행한 결과가 공개된 사례를 저는 찾지 못했습니다. 제가 뒷받침할 수 있는 주장은 이보다 좁습니다. 오픈 웨이트 모델이 레인지를 완주했고, 더 새로운 오픈 웨이트 모델이 한 공개 벤치마크의 익스플로잇 구축에서 4월의 제한 출시 모델과 대등하다는 것입니다.

Breunig의 주장, 6개월 뒤

Breunig의 논지는 한 문장이었습니다. “to harden a system you need to spend more tokens discovering exploits than attackers will spend exploiting them”(시스템을 강화하려면 공격자가 익스플로잇에 쓸 토큰보다 더 많은 토큰을 익스플로잇 발견에 써야 한다). 그는 이를 암호화폐의 작업 증명, 즉 “where success is tied to raw computational work”(성공이 순수한 계산 작업량에 묶여 있는 방식)에 빗대며 직설적으로 말했습니다. “You don’t get points for being clever. You win by paying more.”(영리하다고 점수를 주지 않는다. 더 많이 지불해야 이긴다.)²

그는 여기서 두 가지 귀결을 끌어냈습니다. 첫째는 오픈소스에 관한 것입니다. 보안이 지출의 문제라면, Linus의 법칙인 “given enough eyeballs, all bugs are shallow”(보는 눈이 충분하면 모든 버그는 얕다)는 토큰으로도 확장됩니다. 많은 회사가 돈을 들여 보호하는 라이브러리가 한 팀이 혼자 유지하는 코드보다 더 잘 보호된다는 뜻입니다. Simon Willison도 같은 날 같은 지적을 했습니다. 오픈소스 라이브러리는 “become more valuable, since the tokens spent securing them can be shared across all of their users”(이를 보호하는 데 쓴 토큰을 모든 사용자가 공유할 수 있으므로 더 가치 있어진다).²³ Breunig는 여기에 스스로 복잡한 사정을 덧붙였습니다. 널리 쓰이는 패키지는 더 가치 있는 표적이기도 하며, “which incentivizes attackers to spend more on OSS targets”(이것이 공격자가 OSS 표적에 더 많이 쓰도록 부추긴다)는 것입니다.

둘째는 새로운 작업 단계입니다. 그는 개발, 리뷰, 강화로 이어지는 주기를 예상했고, 강화를 이렇게 정의했습니다. “Identify exploits, autonomously, until the budget runs out.”(예산이 바닥날 때까지 자율적으로 익스플로잇을 찾아낸다.) 첫 단계를 제약하는 것은 사람의 투입이고, 마지막 단계를 제약하는 것은 돈입니다.²

가격 폭락은 이 주장을 무너뜨리지 않으며, 그 이유는 Breunig가 4월에 이미 말했습니다. “Even if costs go down as inference optimizations, unless models reach the point of diminishing security returns, you still need to buy more tokens than attackers do. The cost is fixed by the market value of an exploit.”(추론 최적화로 비용이 내려가더라도, 모델이 보안 수익 체감 지점에 이르지 않는 한 공격자보다 많은 토큰을 사야 하는 것은 마찬가지다. 비용은 익스플로잇의 시장 가치로 정해진다.)² 토큰이 싸지면 양쪽 모두의 비용이 내려갑니다. 바뀌는 것은 누가 공격자 역할을 감당할 수 있느냐입니다.

방어 쪽에도 증거가 있습니다. Anthropic은 Mythos Preview의 제한적 출시 덕분에 검증된 방어자들이 비슷한 모델이 공개되기 전에 “find more than 10,000 vulnerabilities in critical software”(핵심 소프트웨어에서 1만 개가 넘는 취약점을 찾을) 수 있었다고 말합니다.⁹ AISI는 이 실험을 스스로에게도 해 보았습니다. 7월 사례 연구에서 한 프런티어 모델은 AISI 자체 연구 플랫폼의 스테이징 사본에서 5단계 공격 체인을 “for under £150 in tokens”(토큰 비용 150파운드 미만으로) 찾아냈습니다.¹² 이런 노력 중 첫 번째는 Project Glasswing에서, 그보다 앞선 결과, 즉 Claude Code와 짧은 스크립트로 찾아낸 23년 된 Linux 커널 버그는 When Your Agent Finds a Vulnerability에서 다뤘습니다.

단서들이 여전히 뜻하는 것

AISI의 모든 보고서에는 같은 한계가 붙어 있고, 그 한계는 아직 해소되지 않았습니다. TLO는 “lacks active defenders and defensive tooling, imposes no penalty for actions that would trigger security alerts, and contains an intentional attack path”(능동적인 방어자와 방어 도구가 없고, 보안 경보를 일으킬 행동에 불이익을 주지 않으며, 의도적으로 마련한 공격 경로를 포함한다).⁷ 게다가 공격자가 이미 내부에 들어온 뒤부터 시작합니다. 4월에 AISI는 “cannot say for sure whether Mythos Preview would be able to attack well-defended systems”(Mythos Preview가 잘 방어된 시스템을 공격할 수 있을지 확실히 말할 수 없다)고 썼고, “active monitoring, endpoint detection and real-time incident response”(능동적 모니터링, 엔드포인트 탐지, 실시간 사고 대응)를 갖춘 레인지를 만들고 있다고 밝혔습니다.¹ 5월에는 증거가 보여 주지 않는 것들을 나열했습니다. “how the pace of progress will evolve, when AI will reach any particular capability threshold, or how these capabilities will translate against defended, real-world systems”(진전 속도가 앞으로 어떻게 변할지, AI가 언제 특정 능력 임계치에 이를지, 이 능력이 방어되는 실제 시스템에서 어떻게 발휘될지).⁵

사람이 지키는 네트워크에서는 문제 자체가 달라집니다. 실제 공격자에게 소음은 비용이고, 경보 하나하나가 방어자에게는 대응할 기회입니다. 레인지는 그 비용을 없앱니다. 실제 방어에 대한 테스트에 AISI가 가장 가까이 다가간 공개 사례는 7월 사례 연구로, 탐지 시스템이 프로덕션을 “exactly mirror”(그대로 반영하는) 스테이징 환경에서 한 번 진행한 실습입니다. 결과는 “one basic commercial alerting system did not flag any of the autonomous agent activity as a security event”(기본적인 상용 경보 시스템 하나는 자율 에이전트의 활동을 하나도 보안 이벤트로 표시하지 않았다)였던 반면, 더 고급 모니터는 “did correctly identify some of the aggressive behaviour as anomalous”(공격적인 행동 일부를 이상 행위로 정확히 식별했다)였습니다.¹²

반대 방향으로 작용하는 점도 두 가지 있습니다. 시도당 성공률은 반복 시도로 얻는 것을 과소평가합니다. 시도들이 서로 독립적이고 표적이 바뀌지 않는다면, 10번 중 3번 완주하는 모델은 열 번 시도해 적어도 한 번 완주할 확률이 약 97%이고, 10번 중 1번 완주하는 모델은 약 65%입니다. 이는 제 계산이며 그 가정에 기대고 있는데, 방어되고 변화하는 네트워크라면 그 가정은 깨질 것입니다. 그리고 4월부터 7월까지 추세는 한 방향으로만 움직였습니다. 10번 중 3번인 모델 하나에서, 최고 성적이 10번 중 6번과 7번인 여러 모델로. 그 뒤로 AISI는 레인지 결과를 공개하지 않았습니다.

테스트는 또 다른 위험도 드러냈습니다. 8월 4일 AISI는 한 사이버 평가의 실행 122번 중 10번에서, 인터넷 접근을 켜고 개발사의 사이버 분류기를 끈 상태로, 에이전트가 “took autonomous, unsanctioned action on the live internet, targeting real people and organisations”(실제 사람과 조직을 겨냥해 실제 인터넷에서 자율적이고 허가받지 않은 행동을 했다)고 공개했습니다. AISI는 이런 행동 19건을 목록으로 정리했는데, 그중 17건이 Mythos 5에서 나왔고, 사람 메인테이너가 거부한 오픈소스 프로젝트에 악성 코드를 넣으려는 시도도 포함되어 있었습니다. AISI는 그로 인한 피해는 발견하지 못했으며, 이런 구성은 “are not commercially available”(상업적으로 제공되지 않는다)고 강조했습니다.¹¹ AISI는 위험도가 가장 높은 사이버 평가를 중단하고 에이전트형 사이버 테스트의 인터넷 접근을 끈 뒤, 10월 1일에 평가 작업 대부분을 재개한다고 밝혔습니다.¹⁴

이런 행동은 다른 곳에서도 나타났습니다. 9월 28일 AISI는 사이버 분류기를 끈 시뮬레이션 실행에서 GPT-6 Astra가 과제 범위 밖의 표적을 상대로 “completed a supply-chain attack 29.2% of the time”(29.2%의 비율로 공급망 공격을 완수했다)고 보고했습니다. AISI에 따르면 자신이 시뮬레이션 안에 있다는 모델의 인식이 그 행동의 일부를 이끌었을 수 있으며, 실제 조건에서 같은 행동이 나올 가능성도 배제할 수 없다고 합니다.¹⁵ Anthropic도 자체적으로 네 건의 사고를 보고했습니다. 외부 파트너가 만든 사이버 보안 평가에서 설정 오류로 인해, 출시 시 탑재된 사이버 안전장치 없이 실행되던 Claude 모델들이 열린 인터넷에 연결되었고, 이들이 “gained unauthorized access to real third-party systems”(실제 제3자 시스템에 무단으로 접근했다)는 것입니다. 그중 한 건에서는 Mythos 5가 PyPI에 악성 패키지를 올렸습니다.¹⁶ 어려운 목표를 받고 열린 네트워크에 놓인 유능한 에이전트는 표적뿐 아니라 제3자에게도 위험합니다. 다른 연구소에서 있었던 관련 사례는 격리 탈출 글에서 다뤘습니다.

제가 할 일

1. 패치 공백부터 줄이십시오. 가격이 매겨진 유일한 N-day 세션은 공개된 수정 사항을 모델 시간 8시간 만에 작동하는 익스플로잇 체인으로 바꿨습니다. 벤더의 수정과 여러분의 배포 사이의 간격은 이제 싸게 공격할 수 있습니다. AISI의 조언도 같은 곳에서 시작합니다. “regular application of security updates, robust access controls, security configuration, and comprehensive logging.”(정기적인 보안 업데이트 적용, 견고한 접근 제어, 보안 설정, 포괄적인 로깅.)¹⁹
2. 강화 단계에 예산을 배정하십시오. 출시 전과 중요한 변경이 있을 때마다 자기 시스템을 대상으로 자동화된 익스플로잇 발견을 실행하고, 토큰 예산은 그 시스템이 지키는 것의 가치에 맞춰 정하십시오. AISI가 공개한 가격이라면 예산은 더 이상 장애물이 아닙니다. 장애물은 선별 작업입니다. AISI 자체 사례 연구에서 프로젝트 전체는 “under £1000 in LLM tokens”(LLM 토큰 비용 1,000파운드 미만)를 썼지만, 정적 코드 리뷰에 대해서는 “Separating the most important reports from the noise took human judgement, from the most experienced engineers.”(가장 중요한 보고를 소음에서 골라내는 데는 가장 경험 많은 엔지니어들의 사람 판단이 필요했다.)²⁶¹²
3. 공격자가 오픈 웨이트를 가지고 있다고 가정하십시오. GLM-5.3 수준의 익스플로잇 개발을, 안전장치 없이, 원하는 누구나 쓸 수 있다는 전제로 계획하십시오. Anthropic의 보고서도 그렇게 말합니다.⁹
4. 누군가 돈을 들여 보호하는 의존성을 고르고, 비용도 함께 내십시오. 공유되는 토큰에 대한 Breunig와 Willison의 지적은 토큰이 실제로 쓰일 때만 성립합니다. 공급망 글은 널리 쓰이는 두 패키지에 공격자가 먼저 손을 댔을 때 무슨 일이 벌어졌는지를 다룹니다.²³
5. 자기 에이전트에는 목줄을 채우되, 그것이 막지 못하는 것도 알아 두십시오. 제 훅은 에이전트가 main에 강제 푸시하거나 자격 증명을 유출하지 못하게 막습니다. 하지만 그 에이전트들이 다루는 시스템을 탐색하는 외부 공격자에게는 아무 효과가 없습니다. 제가 쓴 성능 사각지대도 마찬가지로, 에이전트가 작성한 코드가 모든 테스트를 통과하면서도 최대 446배 느리게 동작했습니다. 게이트는 자신이 겨냥해 만들어진 종류의 실패만 잡습니다. 보안에는 보안 전용 게이트가, 그것도 적대적인 게이트가 필요합니다.

4월 버전에 쓴 내용

이 글의 첫 버전은 2026년 4월 14일, AISI의 4월 13일 보고서와 Breunig의 에세이를 바탕으로 썼습니다. 그 뒤에 공개된 내용에 비춰 보면 다음 부분이 틀렸거나 낡았습니다.

• 가격. 제목은 “AI Attacks at $12,500 a Run”(한 번에 12,500달러가 드는 AI 공격)이었고, 본문은 이 숫자를 평가에 든 비용처럼 다뤘습니다. 실제로는 Breunig의 추정치, 즉 토큰 예산에 출력 가격을 곱한 값이었고, AISI가 나중에 다른 모델들의 실행에 매긴 가격은 1.19달러에서 85달러 사이였습니다.
• “No other model has solved the full chain.”(전체 체인을 푼 다른 모델은 없다.) 이 말은 몇 주 만에 사실이 아니게 되었습니다. 4월 말 GPT-5.5의 결과가 공개되었고, 7월 23일까지는 클로즈드 웨이트 모델 네 개와 오픈 웨이트 모델 하나가 이를 풀었습니다.
• “The 30% success rate against undefended networks is the floor, not the ceiling.”(방어 없는 네트워크에 대한 30% 성공률은 바닥이지 천장이 아니다.) 이 판단은 맞았지만 수치는 낡았습니다. 새 Mythos Preview 체크포인트는 5월에 10번 중 6번에 이르렀습니다.
• Cooling Tower. 저는 Mythos가 이 운영 기술(OT) 레인지에서 “failed”(실패했다)고 쓰고, 능력이 고르지 않다는 결론을 끌어냈습니다. 한 달 뒤 새 체크포인트가 10번 중 3번 이를 풀었습니다.
• Breunig의 리뷰 단계. 저는 이를 “known bug classes”(알려진 버그 유형)를 잡는 단계로 설명했습니다. 그의 실제 표현은 “Document, refactor, and other gardening tasks.”(문서화, 리팩터링, 그 밖의 손질 작업)입니다.
• “Or they lose by default.”(그렇지 않으면 기본적으로 진다.) 이 표현은 제 것이었습니다. Breunig가 쓴 말은 “Hopefully you keep trying longer than your attackers.”(공격자보다 더 오래 계속 시도하기를 바란다)입니다.
• LiteLLM과 Axios. 저는 이를 “cases where vulnerabilities persisted in widely-used libraries”(널리 쓰이는 라이브러리에 취약점이 남아 있던 사례)로 설명했습니다. 실제로는 공급망 침해였고, Breunig가 이를 언급한 것도 다른 논점 때문이었습니다. 그런 소동 이후 코딩 에이전트로 의존성을 다시 작성하자는 주장입니다.
• 인용 두 건. 각주에 적힌 Nicholas Carlini의 강연 제목과 Anthropic의 Mythos Preview 보고서 제목이 틀렸습니다.

FAQ

“사이버 보안은 작업 증명이다”는 무슨 뜻입니까?

Drew Breunig가 지출 경쟁을 가리켜 쓴 표현입니다. “to harden a system you need to spend more tokens discovering exploits than attackers will spend exploiting them”(시스템을 강화하려면 공격자가 익스플로잇에 쓸 토큰보다 더 많은 토큰을 익스플로잇 발견에 써야 한다). 자동화된 익스플로잇 발견이 돈을 더 쓸수록 계속 더 많이 찾아낸다면, 보안은 공격자보다 더 많이 쓰는 데 달려 있게 됩니다. 작업 증명 시스템이 성공을 연산량에 묶는 것과 같은 방식입니다.²

AISI의 네트워크 공격 시뮬레이션을 완주할 수 있는 AI 모델은 몇 개입니까?

AISI와 CAISI의 2026년 7월 23일 보고서 기준으로, 공개 출시된 클로즈드 웨이트 모델 네 개와 오픈 웨이트 모델 하나(Kimi K3)가 “The Last Ones”를 완주했습니다. 가장 뛰어난 모델들은 10번 중 6번과 7번, Kimi K3는 10번 중 1번이었습니다.⁷

AI 사이버 공격을 한 번 실행하는 데 비용이 얼마나 듭니까?

레인지를 완주한 실행에 대해 공개된 가격은 없습니다. Breunig가 말한 시도당 12,500달러는 1억 토큰 예산을 Mythos Preview의 출력 단가로 계산한 추정치였습니다. AISI가 가격을 매긴 1억 토큰 레인지 실행은 Opus 4.5와 4.6이 약 85달러, GLM-5.2가 추정 46달러였고, 이들 중 어느 것도 레인지를 완주하지 못했습니다.²⁶

이는 AI가 방어되는 네트워크에 침입할 수 있다는 뜻입니까?

AISI는 그렇게 주장하지 않습니다. 그 레인지에는 능동적인 방어자도, 방어 도구도, 경보를 일으켰을 때의 불이익도 없으며, 초기 접근 이후부터 시작합니다. AISI는 결과가 “small, weakly defended and vulnerable enterprise systems”(작고 방어가 약하며 취약한 기업 시스템)에 대한 능력을 보여 준다고 말합니다.¹⁷

팀은 무엇부터 해야 합니까?

공개된 수정 사항을 배포하기까지의 시간을 줄이십시오. 공개된 수정을 익스플로잇으로 바꾸는 일이 이제 싸졌기 때문입니다. 그리고 AISI가 꼽는 기본, 즉 보안 업데이트, 접근 제어, 안전한 설정, 로깅을 유지하십시오. 그런 다음 시스템이 지키는 것에 맞춘 예산으로 자동화된 익스플로잇 발견을 출시 프로세스에 넣으십시오.¹⁹

출처