트럼프 AI 행정명령 핵심 미토스 쇼크가 바꾼 미국의 선택

미토스 쇼크가 미국 정부를 움직였습니다

챗GPT와 클로드 같은 생성형 인공지능은 글을 쓰거나 질문에 답하는 수준을 빠르게 넘어섰어요.

최근에는 소프트웨어의 보안 취약점을 찾고 실제 공격에 활용될 수 있는 코드까지 만들어내는 단계로 발전하고 있습니다.

미국 정부가 인공지능을 산업 경쟁력의 핵심으로 보면서도 사이버 보안을 걱정하기 시작한 이유가 여기에 있어요.

그 변화를 보여준 대표적인 사례가 앤트로픽이 공개한 사이버 보안 특화 모델 클로드 미토스 프리뷰입니다.

미토스는 1998년 오픈BSD에 도입된 선택적 승인 기능에서 오랫동안 발견되지 않았던 취약점을 찾아냈어요.

공격자가 이를 악용하면 인터넷에 연결된 오픈BSD 시스템을 원격으로 반복해서 중단시킬 수 있는 결함이었습니다.

앤트로픽은 초기 명령을 입력한 뒤 사람의 추가 개입 없이 미토스가 취약점을 찾아냈다고 설명했어요.

다만 원문에 등장한 것처럼 한 줄의 명령만으로 정확히 1분 만에 찾아냈다는 내용은 공식 발표에서 확인되지 않습니다.

가장 중요한 오픈BSD 취약점은 약 1천 회의 자동화된 탐색 과정에서 발견됐고, 전체 탐색 비용은 2만 달러 미만이었어요.

해당 취약점을 찾아낸 한 번의 실행 비용은 50달러 미만이었지만 어느 실행에서 성과가 나올지는 미리 알 수 없었다는 것이 앤트로픽의 설명입니다.

미토스는 오픈BSD뿐 아니라 FFmpeg의 16년 된 취약점과 FreeBSD의 원격 코드 실행 취약점도 발견했어요.

FreeBSD 사례에서는 취약점을 찾아내는 데 그치지 않고 실제로 작동하는 공격 코드까지 스스로 만들었습니다.

전문가가 몇 주 동안 진행할 수 있는 작업을 인공지능이 몇 시간 안에 수행할 가능성이 확인된 셈이죠.

이 기술은 방어자가 오래된 보안 결함을 빠르게 찾는 데 유용하지만, 범죄자가 손에 넣으면 공격 속도까지 크게 높일 수 있다는 양면성을 지닙니다.

관련 기술 내용은 앤트로픽 미토스 연구 결과에서 확인할 수 있어요.

출시 전 30일 검증은 강제 승인제가 아닙니다

도널드 트럼프 미국 대통령은 2026년 6월 2일 인공지능 혁신과 보안을 함께 다루는 행정명령에 서명했습니다.

이번 행정명령은 미국의 주요 인공지능 기업이 최고 성능의 모델을 출시하기 전에 정부에 제공하고 사이버 보안 능력을 점검받을 수 있는 체계를 만드는 내용이에요.

여기서 반드시 구분해야 할 부분이 있습니다.

미국 정부가 모든 신형 인공지능 모델을 강제로 심사한 뒤 출시 여부를 승인하는 제도는 아니에요.

행정명령에는 정부 면허제와 사전 허가제, 의무적인 사전 승인 요건을 새로 만들지 않는다는 내용이 명시돼 있습니다.

기업과 정부가 자발적으로 협력하는 구조이며, 검증 대상도 모든 인공지능이 아니라 일정 기준을 넘는 최첨단 모델이에요.

정부는 기밀 평가 기준을 마련한 뒤 사이버 공격 능력이 매우 높은 모델을 검증 대상 모델로 지정할 계획입니다.

해당 기업이 참여하면 모델을 다른 신뢰 기관에 공개하기 전 최대 30일 동안 미국 정부에 먼저 제공할 수 있어요.

구분	핵심 내용
참여 방식	기업의 자발적 협력
검증 대상	사이버 능력이 높은 최첨단 모델
사전 접근 기간	다른 신뢰 기관 공개 전 최대 30일
정부 역할	기밀 평가와 보안 취약점 점검
포함되지 않은 제도	면허제와 의무 사전 승인제

따라서 대중 공개 전 무조건 30일 동안 정부 승인을 받아야 한다고 표현하면 실제 행정명령보다 강한 규제로 오해할 수 있습니다.

행정명령의 정확한 내용은 미국 백악관 공식 문서에서 확인할 수 있어요.

90일 검토안이 30일로 줄어든 이유

이번 행정명령은 당초 2026년 5월 21일 서명될 예정이었지만 막판에 연기됐어요.

트럼프 대통령은 일부 내용이 미국 기업의 기술 개발을 방해하고 중국과의 인공지능 경쟁에 불리하게 작용할 수 있다고 판단한 것으로 전해졌습니다.

초기 검토안에는 정부가 신형 모델을 최대 90일 먼저 사용할 수 있도록 하는 내용이 포함돼 있었어요.

그러나 인공지능 산업은 몇 달 사이에도 새로운 모델과 기능이 쏟아지는 분야입니다.

90일 동안 출시가 늦어지면 제품 경쟁력과 투자 회수, 기업 고객 확보에 상당한 부담이 생길 수 있죠.

최종 행정명령에서는 기간이 최대 30일로 줄었고 참여 방식도 자율 협력으로 정리됐습니다.

정부가 위험한 능력을 미리 파악할 시간은 확보하되 미국 기업의 출시 속도를 지나치게 늦추지 않겠다는 절충안으로 볼 수 있어요.

행정명령은 재무부를 중심으로 국가안보국과 국토안보부, 사이버안보기반시설안보국 등이 참여하는 인공지능 사이버 보안 협력체 구성도 요구했습니다.

이 협력체는 인공지능 기업과 은행, 병원, 공공시설 운영자 등이 함께 소프트웨어 취약점을 찾고 검증하며 보안 패치 배포 순서를 조정하는 역할을 맡게 돼요.

정부가 인공지능을 위험 요소로만 보는 것이 아니라 국가 기반 시설을 보호하는 방어 도구로 적극 활용하려는 것입니다.

오픈AI와 미국 빅테크에는 어떤 변화가 생길까요

오픈AI와 앤트로픽, 구글은 강제적인 출시 승인제가 제외된 만큼 대체로 긍정적인 반응을 보였어요.

오픈AI 최고경영자 샘 올트먼은 미국이 최고의 모델을 계속 개발하면서 안전성을 확보하고 신뢰할 수 있는 방어자에게 사이버 도구를 제공해야 한다는 입장을 밝혔습니다.

구글 역시 이번 행정명령을 중요한 진전으로 평가했고, 앤트로픽은 시행 과정에서 백악관과 협력하겠다고 밝혔어요.

하지만 기업의 부담이 완전히 사라진 것은 아닙니다.

최첨단 모델이 정부 검증 과정에서 심각한 보안 위험을 드러내면 출시 일정이 바뀌거나 일부 기능이 제한될 수 있어요.

보안 평가 결과가 공개되지 않더라도 정부와 주요 기관의 신뢰를 얻지 못한 모델은 기업 고객 확보에 어려움을 겪을 가능성이 있습니다.

반대로 정부 검증에 적극적으로 참여하고 위험 관리 능력을 입증한 기업은 금융과 의료, 국방 및 공공기관 시장에서 더 높은 신뢰를 얻을 수 있죠.

현재 행정명령은 자율 참여를 전제로 하지만 앞으로 대형 보안 사고가 발생하면 의무 심사나 독립적인 외부 감사 요구가 커질 가능성도 있습니다.

결국 이번 조치는 인공지능 개발을 막기 위한 전면 규제라기보다, 통제하기 어려울 정도로 강력해진 사이버 능력을 정부가 출시 전에 파악하려는 첫 안전장치에 가까워요.

미토스 쇼크가 보여준 핵심도 분명합니다.

강력한 인공지능은 오래된 보안 결함을 찾아 사회를 더 안전하게 만들 수 있지만, 같은 능력이 공격자에게 넘어가면 금융망과 병원, 전력 및 통신 시설을 위협하는 도구가 될 수도 있어요.

앞으로 인공지능 기업의 경쟁력은 성능과 속도만으로 결정되지 않을 가능성이 큽니다.

얼마나 강력한 모델을 만들었는지와 함께 그 능력을 얼마나 안전하게 관리할 수 있는지가 기업의 신뢰도와 시장가치를 좌우하게 될 것으로 보입니다.

#트럼프AI행정명령 #미토스쇼크 #앤트로픽미토스 #AI사전검증 #인공지능규제 #AI사이버보안 #오픈AI #미국AI정책 #생성형AI #사이버보안