2026년 마이크로소프트는 AI가 찾아낸 수많은 보안 취약점 때문에 심각한 딜레마에 빠졌습니다. 정부 계약까지 위협받는 현 상황을 분석합니다.
마이크로소프트는 최근 인공지능(AI)이 윈도우 보안 강화에 기여하기는커녕, 오히려 해커들이 시스템 결함을 더 빠르게 찾아낼 수 있도록 돕는다는 사실을 깨닫고 심각한 딜레마에 빠졌습니다. AI는 취약점을 발견하는 속도에서 인간을 능가하며, 이는 마이크로소프트가 고쳐낼 수 있는 속도보다 훨씬 빠릅니다. 이로 인해 회사는 막대한 자원을 투입해 모든 AI 발굴 보안 문제를 즉시 해결해야 할지, 아니면 가장 중요한 문제들만 서둘러 처리하고 사소한 문제들은 나중에 훨씬 적은 비용으로 정리해야 할지 중대한 결정의 기로에 섰습니다. 이 결정은 엄청난 파급 효과를 가져올 수 있습니다. 수년간 마이크로소프트는 기술 해킹 빈도 때문에 미국 정부로부터 비판을 받아왔으며, 이는 국가 안보를 위험에 빠뜨릴 수 있다는 지적을 받았습니다. 일부 의원들은 마이크로소프트가 더 나은 보안을 제공할 수 있음을 입증할 때까지 정부 계약을 축소할 것을 제안하기도 했습니다. 수십억 달러에 달하는 연방 계약이 철회될 수도 있는 상황입니다. AI의 놀라운 취약점 발견 능력과 그 영향에 대해 자세히 알아보겠습니다.
AI, 보안의 새로운 역설
마이크로소프트의 AI 관련 보안 문제는 앤트로픽(Anthropic)이 출시한 사이버 보안 및 생물학 연구용 AI 모델 ‘미토스(Mythos)’의 등장과 함께 증폭되었습니다. 미토스의 목표 중 하나는 해커들이 취약점을 찾아내기 전에 소프트웨어 및 사이버 보안 기업이 이를 해결할 수 있도록 가능한 한 빨리 보안 취약점을 발견하는 것입니다. 앤트로픽의 초기 테스트에서 미토스는 윈도우 보안 결함을 찾아내는 데 놀라운 성공을 거두었습니다. 이 기술은 이론적으로 방어에 도움이 될 것이었지만, 현실은 다르게 전개되었습니다.
Mythos: 속도전의 시작
액시오스(Axios)는 2026년 6월, 미토스가 31분 만에 윈도우 커널 취약점의 개념 증명 익스플로잇을 생성했다고 보도했습니다. 앤트로픽은 미토스 테스트를 통해 AI 모델이 가장 숙련된 인간을 제외한 모든 이들을 능가하는 코딩 능력으로 소프트웨어 취약점을 찾아내고 악용할 수 있음을 입증했다고 밝혔습니다. ‘미토스 프리뷰’는 이미 모든 주요 운영 체제와 웹 브라우저에서 수천 건의 심각도 높은 취약점을 발견했습니다. 이러한 AI의 능력은 빠른 속도로 확산되어 경제, 공공 안전, 국가 안보에 심각한 영향을 미칠 수 있습니다.
마이크로소프트의 딜레마: 패치 속도전
앤트로픽은 미토스의 강력한 방어 목적 활용을 위한 ‘프로젝트 글래스윙(Project Glasswing)’을 시작했으며, 마이크로소프트, 구글, 아마존 등 여러 기업이 참여하고 있습니다. 이론상 해커보다 먼저 취약점을 찾아 해결하는 것은 훌륭한 아이디어지만, 현실은 달랐습니다. 미토스는 기업, 특히 마이크로소프트가 패치할 수 있는 속도보다 훨씬 빠르게 보안 허점을 찾아내고 있습니다. 2026년 7월 말 프로 퍼블리카(Pro Publica)는 “마이크로소프트가 충분히 빠르게 문제를 해결하는 데 어려움을 겪고 있다”고 보도했습니다. 마이크로소프트는 현재 가장 위험한 버그와 취약점만 패치하고 있습니다.
위험한 우선순위 설정
내부 기록에 따르면 마이크로소프트는 미토스가 발견한 ‘중간’ 심각도 결함은 나중에 해결할 계획이지만, ‘낮음’ 심각도 버그에 대한 언급은 없었습니다. 이는 많은 기업이 취약점 패치에 들이는 노력을 결정할 때 사용하는 일반적인 트리아지(위험도 분류) 방식입니다. 그러나 빈 응우옌(Vinh Nguyen) 전 미국 국가안보국(NSA) 최고 AI 책임자 등 일부 전문가는 AI 시대에는 이러한 접근 방식이 위험하다고 경고합니다. 그는 “네 가지 낮은 수준의 결함을 연결하면 높은 심각도의 취약점이 될 수 있다”며, 마이크로소프트의 현 트리아지 전략이 리스크를 과소평가하고 있을 수 있다고 지적했습니다. 미토스 출시 이후, 2026년 7월 ‘패치 화요일’에는 마이크로소프트 역사상 가장 많은 622개의 버그가 수정되는 등 패치 작업이 이미 어려워지고 있습니다.
정부 계약 위협과 과거 사례
마이크로소프트는 보안 처리 문제로 이미 곤경에 처해 있습니다. 2025년, 셰어포인트(SharePoint)는 최악의 공격 중 하나로 해킹되어 수만 개의 서버가 피해를 입었습니다. 여기에는 수천 개의 기업뿐만 아니라 국립보건원(NIH), 국가핵안보국(NNSA), 국토안보부(DHS), 사이버보안 및 인프라 보안국(CISA) 등 중요한 정부 기관이 포함되었습니다. 심지어 그전에도 일부 의원들은 마이크로소프트가 보안을 개선하지 않으면 계약을 철회하겠다고 위협했습니다. 2025년, 에릭 슈미트(Eric Schmitt) 상원의원과 론 와이든(Ron Wyden) 상원의원은 국방부에 마이크로소프트 제품 사용을 늘리지 말 것을 요청하는 서한을 보내기도 했습니다.
AI 시대의 보안 패러다임 변화
이러한 과거 해킹 사건이나 서한의 직접적인 결과는 없었지만, 또 다른 대규모 공격이 발생하면 상황은 순식간에 바뀔 수 있습니다. 해커들이 미토스가 찾아낸 보안 허점과 버그를 악용하는 것은 이제 시간문제처럼 보입니다. 특히 마이크로소프트가 모든 취약점을 수정하지 않는다면 더욱 그렇습니다. AI 기반의 다음 대규모 해킹은 기업과 정부뿐만 아니라 마이크로소프트 자체에도 매우 위험한 결과를 초래할 수 있습니다. AI가 가져온 편의성과 효율성 뒤에 숨겨진 그림자, 즉 고도화된 공격 가능성에 대한 근본적인 보안 패러다임 전환이 시급한 시점입니다.
