베이징에서 열린 한 보안 컨퍼런스에서 중국 최대 사이버보안 기업 Qihoo 360의 창업자 저우훙이(Zhou Hongyi)가 AI 보안 도구 두 종을 공개했다. '투룡봉(Tu Long Feng)'은 자동으로 취약점을 탐색하고, '의천진(Yi Tian Zhen)'은 사이버 방어를 자동화한다. 저우훙이에 따르면 투룡봉은 이미 3,432개의 취약점을 탐지했다.
두 도구의 가상 경쟁 상대는 Anthropic의 AI 보안 모델 Mythos다. Mythos는 취약점을 자율적으로 찾아내고 공격 체인을 구성하는 능력으로 주목받았다. 저우훙이는 이 능력을 두고 직접적인 비유를 꺼냈다. "Mythos는 AI 시대의 사이버 핵무기다. 핵전쟁이 일어나지 않는 이유는 양측 모두 핵무기를 보유해 서로를 억지하기 때문이다. 사이버보안도 마찬가지다." 중국도 "동등한 전략적 억지력"을 갖춰야 한다는 논리다.
그는 미국의 '일방적 투명성' 문제도 지적했다. Mythos를 가진 미국이 중국 시스템의 취약점을 스캔하는 동안 중국은 속수무책이라는 것이다. "적은 빠르고 우리는 느리다. 적은 많고 우리는 적다. 상대는 이미 해커 에이전트 집단을 복제해 동시에 작동시키는데, 우리는 여전히 소수의 보안 전문가에게 의존하고 있다."고 그는 말했다.
Anthropic의 Fable 5 수출 제한 조치도 이 맥락에서 읽혔다. 저우훙이는 Fable 5를 "Mythos의 민간용, 순화된 버전"으로 규정하며, 미국 정부가 이 기술의 독점적 통제를 유지하려 한다고 주장했다. 미국이 수출 통제로 AI 보안 역량의 확산을 막는 것과 중국이 자체 역량을 서두르는 것은 같은 논리의 양면이다.
저우훙이 본인도 중국 모델이 서방 최고 모델보다 20~30% 뒤처진다고 인정했다. 360은 이 격차를 에이전트 기반 접근법으로 메우려 한다. 보안 전문 지식과 자동화 도구를 모델에 결합하는 방식이다. "모델 역량이 완전히 따라잡을 때까지 기다릴 수 없다"는 게 그의 입장이다. 한편 칭화대 교수이자 Z.ai 창업자인 지에 탕(Jie Tang)은 중국의 Mythos급 모델이 2027년 1분기 이전에 등장할 것으로 추정했다.
다만 360의 주장을 검증할 독립적인 벤치마크는 없다. OpenAI나 Anthropic처럼 외부 평가를 공개하지 않는 한, 투룡봉이 탐지한 3,432개의 취약점이 실제로 어느 수준인지 확인할 방법이 없다.
이 경쟁 구도는 한국 기업에도 무관하지 않다. 미·중 AI 보안 기술이 수출 통제와 규제의 대상으로 묶이면, 국내 기업이 어떤 솔루션을 도입할 수 있는지에 직접 제약이 생긴다. 글로벌 AI 보안 도구의 접근성이 지정학적 변수에 따라 갈리는 상황에서, 국내 보안 솔루션의 자체 역량이 어느 수준인지 점검할 필요성이 커지고 있다.
