2026년 4월, Anthropic이 조용히 경고 하나를 내놓았다. Claude Mythos Preview가 소프트웨어 취약점을 스스로 찾아낸다는 것, 그리고 개발자가 패치를 만드는 속도보다 빠르게 버그를 발굴한다는 것이었다.
그 경고는 두 달 만에 데이터로 확인됐다.
Epoch AI가 집계한 월간 CVE 보고 추이를 보면, 2026년 4월부터 곡선이 가파르게 꺾인다. 6월에는 21개 기관이 고위험(high-severity) 및 치명적(critical) 취약점을 약 1,500건 보고했다. 기존 월간 최고 기록의 3.5배를 넘는 수치다.
폭증의 진원지는 두 곳이다. Anthropic의 "Glasswing" 프로그램은 현재까지 고위험 또는 치명적 취약점을 1만 건 이상 발굴했으며, 일부는 아직 공개되지 않은 상태다. 15개국 150개 파트너사가 참여 중인 이 프로그램은 Claude Mythos Preview 정식 출시 전부터 신뢰 파트너들이 이미 버그 탐색에 활용하고 있었다. OpenAI의 "Daybreak" 프로그램도 이번 급증에 일조한 것으로 Epoch AI는 분석한다.
숫자가 말해주는 것은 단순한 양적 증가가 아니다. 보안 취약점 발견의 주체가 바뀌고 있다는 신호다. 지금까지 CVE 보고는 인간 보안 연구자의 수작업과 버그바운티 프로그램에 의존해 왔다. AI 모델이 이 과정에 투입되자, 탐색 속도가 인간의 패치 생산 속도를 앞지르기 시작했다.
이 구조적 불균형이 보안 산업 전반에 새로운 압력을 만들어낸다. 취약점이 발견되는 속도는 AI가 결정하지만, 패치를 개발하고 배포하고 검증하는 과정은 여전히 인간의 시간 위에서 돌아간다. Glasswing이 발굴한 1만 건 가운데 아직 공개되지 않은 것들이 있다는 사실은, 발견과 공개·패치 사이의 간극이 이미 관리 한계에 근접했음을 시사한다.
Epoch AI는 이번 급증이 AI 주도 발견의 물결을 반영한다고 명시했다. 공격과 방어 모두 AI가 주도하는 시대, 보안의 속도 방정식이 다시 쓰이고 있다.
