Anthropic Mythos AI NSA 기밀 시스템 침투 미국 수출 규제와 Fable 5 전면 셧다운의 전말
Anthropic의 최강 AI 모델 Mythos가 미 국가안보국(NSA) 기밀 시스템 대부분을 단 몇 시간 만에 침투했다는 상원 청문회 증언이 공개되며 AI 업계 전체가 충격에 빠졌습니다. 미 상무부는 즉각 Fable 5와 Mythos 5에 대한 외국 국적자 접근 차단 수출 규제를 발령했고, Anthropic은 전 세계 모든 사용자를 대상으로 두 모델을 전면 셧다운했습니다.
AI 모델 자체를 직접 겨냥한 수출 규제는 미국 역사상 처음입니다. 지금까지 수출 규제는 AI를 구동하는 반도체 칩에 적용되었지 모델 자체에 적용된 전례는 없었습니다. 이 조치가 AI 거버넌스와 국가안보 정책에 어떤 선례를 남겼는지, 그리고 한국을 포함한 동맹국과 기업들에 어떤 파장을 미치는지 살펴봅니다.
사건의 시작은 2026년 6월 11일입니다. 이날 미 상원 정보위원회 청문회에서 부위원장 Mark Warner 의원은 NSA 국장 겸 사이버사령부 사령관 Joshua Rudd 장군으로부터 직접 들은 내용을 공개했습니다. Rudd 장군은 “이 도구(Mythos)가 우리 기밀 시스템 거의 전부를 몇 주가 아닌 몇 시간 만에 뚫었다”고 밝혔습니다.
NSA 침투 증언의 전말과 규제 발령 타임라인
이 증언은 영국 이코노미스트지가 6월 14일 처음 보도했지만 초기에는 주목받지 못했습니다. 이후 6월 21일경 소셜미디어를 통해 급속도로 확산되며 “Mythos가 NSA를 해킹했다”는 표현으로 바이럴되었습니다. 그러나 이코노미스트 원저자는 이튿날 해당 표현이 과장된 것이라고 직접 해명에 나서야 했습니다. 중요한 사실은 이것이 외부 공격이 아닌 통제된 환경의 레드팀(red-team, 보안 취약점 테스트를 위해 실제 공격자 역할을 맡는 팀) 평가였다는 점입니다.
규제 조치는 이보다 하루 앞선 6월 12일 이미 발동되었습니다. 미 상무부는 Anthropic에 Fable 5와 Mythos 5의 접근을 미국 시민권자로만 제한하라고 지시했고, 사용자 국적을 실시간으로 검증할 방법이 없었던 Anthropic은 90분의 유예 시간을 받은 뒤 전 세계를 대상으로 두 모델을 모두 셧다운했습니다.
수출 규제 발동의 공식 명분과 실제 배경
공식 명분은 Fable 5 안전 분류기(safety classifier) 우회 취약점 발견이었습니다. 흥미롭게도 이 취약점을 상무부에 가장 먼저 신고한 주체는 Anthropic의 최대 투자자이자 경쟁사이기도 한 아마존이었습니다. Anthropic은 해당 취약점이 GPT-5.5를 포함한 타사 모델에도 동일하게 존재하는 협소한 사례일 뿐이며, 정부 조치가 과도하다는 입장을 고수하고 있습니다.
그러나 NSA 침투 증언이 공개되면서 실제 배경이 보다 선명해졌습니다. Mythos는 이미 공개 이전부터 실전에 가까운 능력을 입증해 왔습니다. 27년 된 OpenBSD 보안 취약점 발견, Mozilla Firefox 150 브라우저에서 271개의 신규 버그 발굴이 대표적 사례입니다. Anthropic 자체도 Mythos의 사이버보안 능력이 너무 강력해 일반 공개가 불가능하다고 판단, 약 200개의 검증된 파트너사에만 접근을 허용하는 프로젝트 글라스윙(Project Glasswing) 을 통해 제한적으로 운영해 왔습니다.
규제의 또 다른 맥락은 Anthropic과 미 국방부 사이의 갈등입니다. Anthropic은 2025년 7월 국방부와 약 2억 달러 규모의 계약을 체결했으나, 대규모 국내 감시나 완전 자율 무기 시스템에 Claude를 활용하지 않는다는 조건을 명시했습니다. 이후 국방부 장관 Pete Hegseth가 해당 제한 조건 삭제를 요구했고 Anthropic이 거부하면서, 2026년 2월 국방부는 Anthropic을 공급망 국가안보 위협 기업으로 지정하기에 이릅니다. Anthropic은 같은 해 3월 연방법원에 해당 지정의 위헌성을 다투는 소송을 제기한 상태입니다.
전례 없는 규제 방식이 만든 파장
이번 수출 규제의 핵심적 의의는 AI 모델 자체를 직접 대상으로 한 최초의 미국 수출 통제라는 점입니다. 기존 수출 규제는 엔비디아 GPU처럼 AI를 구동하는 하드웨어에 적용되었습니다. 이번 조치는 그 대상이 소프트웨어 모델로 확장되었다는 점에서 규제 역사상 새로운 장을 열었습니다.
파장은 즉각적이었습니다. 파이브아이즈(Five Eyes, 미국·영국·캐나다·호주·뉴질랜드 5개국 정보 동맹) 동맹국들은 사전 통보 없이 접근이 차단되었습니다. 영국 AI 안전 연구소(UK AI Security Institute)는 바로 평가 중이던 시스템의 접근권을 박탈당했습니다. Anthropic 내부의 외국 국적 엔지니어들도 자신이 개발한 모델에 접근하지 못하게 되었습니다. 조지타운대학교 보안기술전문가 Helen Toner는 “외국 국적자의 모델 접근을 막는다는 것은 사실상 해당 기업이 AI 연구개발 자체를 중단하라는 것과 같다”고 비판했습니다.
긍정적 신호도 있습니다. 트럼프 대통령이 Axios와의 인터뷰에서 Anthropic이 더 이상 국가안보 위협이 아닐 수 있다고 언급했고, Anthropic은 7월 8일부터 미국 시민권 인증 절차를 도입할 예정이어서 국내 접근 복원 가능성이 제기되고 있습니다.
한국 기업과 사용자에게 미치는 실질적 영향
한국은 직접적 피해 당사자입니다. Fable 5와 Mythos 5를 기업 서비스나 연구에 활용하던 국내 기업과 개발자들은 90분 사전 통보 후 접근이 끊겼습니다. 사전 고지나 유예 기간이 실질적으로 없었다는 점에서 기업 운영 차원의 리스크가 현실화되었습니다.
보다 근본적인 시사점은 AI 모델 의존성에 내재된 지정학적 리스크입니다. 특정 국가의 규제 결정 하나가 동맹국의 기업과 연구기관 전체의 AI 접근권을 순식간에 박탈할 수 있음이 이번에 입증되었습니다. 전 영국 보안부 장관 Tom Tugendhat의 발언이 이를 압축합니다. “이렇게 명확한 교훈 이후, 모든 국가가 AI 주권을 어떻게 확보할지 묻기 시작할 것입니다.”
한국의 관점에서는 네이버 HyperCLOVA X, 카카오 등 국산 AI 모델 생태계 육성에 대한 전략적 재검토가 필요한 시점입니다. 외부 최첨단 모델을 활용하는 효율과 자체 모델을 보유함으로써 확보하는 안정성 사이의 균형을 어떻게 설정할 것인지가 핵심 과제로 부상했습니다.
주목해야 할 포인트
이번 사태는 AI 능력이 핵무기나 암호화 기술처럼 국가안보 자산으로 공식 분류되는 시대가 도래했음을 알리는 신호입니다. 과거 암호화 기술도 수출 규제 대상이었으나, 결국 전 세계에 보급되었습니다. AI도 같은 경로를 밟을 것인가, 아니면 미국의 기술 우위가 더 오래 지속될 것인가라는 질문이 핵심입니다.
Anthropic 자체의 딜레마도 주목할 부분입니다. NSA 내부에 6명의 엔지니어를 파견해 군사 사이버 작전을 지원하면서도, 자율 무기 시스템에의 활용은 거부하는 복잡한 입장을 유지하고 있습니다. “안전한 AI”와 “군사적으로 유용한 AI” 사이의 경계선을 어디에 그을 것인가라는 질문은 이제 법정과 의회에서 동시에 다루어지고 있습니다.
결론
Mythos의 NSA 침투 사례는 첨단 AI가 국가 안보 인프라를 위협할 수 있는 수준에 실제로 도달했음을 공식 확인한 사건입니다. 이번 수출 규제는 미국 정부가 AI 모델을 핵심 안보 자산으로 간주하기 시작했다는 명확한 신호이며, 동맹국을 포함한 전 세계 AI 생태계의 지형을 빠르게 바꾸고 있습니다. 국내 기업과 정책 입안자들에게 AI 주권 확보 전략을 지금 당장 진지하게 검토해야 할 이유가 생겼습니다.
#AnthropicMythos #NSA해킹 #Fable5 #AI수출규제 #ProjectGlasswing #AI국가안보 #미국AI정책