인사이트

2026년 4월, 한 사건이 글로벌 보안 업계를 흔들었습니다.

앤트로픽이 차세대 생성형 AI 모델인 '클로드 미토스'를 일부 기업에 제공했다는 것이 알려졌습니다.

미토스는 보안성으로 잘 알려진 한 오픈소스 운영체제 OpenBSD에서 27년간 발견하지 못한 취약점을 단 몇 분 만에 찾아냈습니다. 자동화 테스트 도구가 500만 회 넘게 검사하고도 놓쳤던 16년 묵은 결함까지도 잡아냈죠.

영국 AI안전연구소의 평가에서 미토스는 32단계로 구성된 기업 네트워크 공격 시뮬레이션을 10회 실행해 3회는 처음부터 끝까지 완수했습니다. SANS 인스티튜트는 이를 두고 “취약점이 발견된 뒤 실제 공격 코드가 만들어지기까지 걸리는 시간이 과거 2년 단위에서 이제는 분 단위로 압축됐다”라고 진단했습니다.

여기까지는 사건의 표면입니다.

저는 지난 30년 동안 LG·롯데를 비롯한 대기업의 보안 체계를 구축하고, 대학에서는 차세대 보안 리더를 가르쳤습니다. 그런 사람으로서 이 사건에서 가장 충격적이었던 부분은 미토스의 능력이 아니었습니다.

보안 AI를 만든 회사가, 자기 회사의 보안을 지키지 못했다는 사실입니다.

앤트로픽은 최근 한 달 사이에 벌써 세 차례의 보안 사고를 겪었습니다.

미토스 공식 발표 며칠 전인 3월 말, 콘텐츠 관리 시스템 설정 오류로 미공개 블로그 초안 약 3,000건이 외부에서 검색 가능한 상태로 노출됐습니다. 그 안에 미토스에 대한 내부 문서가 포함되어 있어 모델의 존재가 사전에 유출됐죠.

비슷한 시기에는 직원의 배포 실수로 핵심 코딩 도구인 '클로드 코드'의 소스 코드 51만여 줄이 깃허브를 통해 외부에 공개됐습니다.

그리고 미토스 발표 직후인 4월 21일, 외부인이 제3 협력업체의 권한을 이용해 미토스 프리뷰에 무단 접속하는 사고가 발생했습니다.

세계 최고 수준의 보안 모델을 만들 능력이 있는 회사조차, 단순한 설정 오류, 직원의 실수, 협력업체 권한 관리 실패라는 일상적 보안 위협에서 자유롭지 않다는 뜻입니다.

그렇다면 한국의 스타트업과 중소기업은 어떻습니까. 30년간 현장을 지켜본 입장에서, 가장 우려되는 것은 우리 CEO들이 여전히 네 가지 착각 속에 머물러 있다는 점입니다.

착각 ① “우리는 작은 회사라서 공격 대상이 아니다.”

가장 흔하고, 또 가장 위험한 착각입니다.

과거에는 이 통념이 일부 맞았습니다. 인간 해커가 일일이 표적을 정해 공격하던 시대에 작은 회사는 'ROI가 안 나오는' 표적이었기 때문입니다. 해커도 자원이 한정되어 있으니 큰 회사를 노릴 수밖에 없었습니다.

하지만 그 전제는 이미 무너졌습니다.

지금 사이버 공격의 주력은 자동화된 스캔봇과 취약점 스캐너입니다. 이들은 표적을 가리지 않고 인터넷에 노출된 모든 시스템을 24시간 훑습니다. 미토스 같은 AI 도구가 일반화되는 순간, 이 자동화의 속도와 정확도는 또 한 단계 도약하게 될 것입니다.

5인 미만 스타트업이 AWS S3 Bucket 설정 하나를 미설정한 채 방치했던 탓에 10만 명의 고객 데이터가 유출되었습니다. 그 결과 과징금과 함께 핵심 거래처와의 계약까지 잃은 사례가 있었습니다.

지금 CEO에게 필요한 질문은 “우리 회사가 왜 공격당하겠어?”가 아닙니다. “우리 회사는 왜 지금까지 공격을 받지 않았을까?”가 되어야 합니다.

이 질문의 답은 대개 둘 중 하나입니다. 운이 좋았거나, 이미 공격을 받았지만 그조차 발견하지 못한 것입니다.

착각 ② “보안은 외주나 솔루션으로 맡기면 된다.”

두 번째 착각은 책임의 본질을 잘못 이해한 것에서 시작합니다.

스타트업 CEO들은 흔히 이렇게 생각합니다.

”우리는 보안 전담 인력이 없으니까 보안 회사에 위탁하거나 좋은 솔루션을 사면 책임 문제는 충분히 해결될 것이다."

합리적으로 들립니다. 하지만 법적 현실은 다릅니다.

정보통신망법과 개인정보보호법 상 '관리책임자'의 지위는 대리 위임이 불가능합니다. 외주 계약은 운영의 일부를 맡기는 것이지, 책임을 이전하는 것이 아닙니다. 사고가 발생하면 규제기관은 가장 먼저 “외주 관리 구조와 위임 방식이 적절했는가”를 조사하게 됩니다. 솔루션 구매 영수증으로는 어떤 면책도 만들 수 없습니다.

미토스 사건이 이 메시지를 더 무겁게 만듭니다. 보안 도구의 성능이 아무리 뛰어나도 그 도구를 둘러싼 거버넌스가 없으면 무용지물이라는 것이 미토스를 둘러싼 일련의 사고가 보여준 핵심 교훈입니다. 앤트로픽은 더할 나위 없이 훌륭한 도구를 만들었지만, 그 도구를 둘러싼 운영에서 큰 실수를 했습니다.

CEO가 해야 할 일은 솔루션 구매를 결정하는 것이 아니라 누가 보안의 최종 책임을 지는지를 명확히 하는 것입니다. 정규직으로 정보보호최고책임자(CISO)를 둘 수 없다면, 외부 전문가라도 비즈니스 보안책임자(BISO)로 위촉해 책임 주체를 만들어두어야 합니다. 그게 지금 시점의 최소 요건입니다.

착각 ③ “사고가 나면 실무자나 외주사가 책임진다.”

이 착각은 책임 구조의 현실을 정반대로 이해한 결과입니다.

실제 보안 사고가 발생하면 책임은 다음과 같이 분배됩니다. 실무자는 사내 징계 대상에 그치고, 외주사는 계약서에 명시된 범위 안에서만 책임을 집니다. 그리고 형사 처벌, 과징금, 언론 보도의 대상이 되는 것은 결국 대표와 C-Level입니다.

특히 주의해야 할 부분이 있습니다. 유출 사실의 은폐 시도나 공식 보고 지연은 단순한 절차 위반을 넘어 대표 개인의 배임 또는 업무상과실로 확장될 수 있습니다. 사고 자체보다 사고 이후의 잘못된 판단이 더 큰 법적 리스크를 만드는 경우가 많습니다.

여기에서 미토스 시대의 또 다른 특징이 결합됩니다. AI가 발견한 취약점은 발견 즉시 공격 코드로 변환될 수 있습니다. 이 때문에 사고 후 의사결정에 며칠이 소요된다면 그대로 대형 사고로 이어집니다. 책임 소재를 따지느라 패치를 미루는 조직이 가장 먼저 표적이 되는 시대가 이미 시작됐다는 뜻입니다.

CEO가 인식해야 할 것은 자신이 보안 사고의 최종 책임자라는 사실 자체를 사고 이전에 받아들이는 것입니다. 그래야 평소의 의사결정이 달라집니다.

착각 ④ “몰랐다는 주장으로 면책될 수 있다.”

마지막 착각이 가장 본질적입니다.

많은 CEO들이 보안 문제에 대해 ‘나는 모르는 영역’이라며 선을 긋습니다. 그러다 사고가 나기라도 하면 "전문 분야가 아니어서 자세한 내용은 몰랐다"는 항변이 면책으로 작용할 것이라 기대합니다.

하지만 법은 정반대로 작동합니다.

개인정보보호법 제28조 등은 대표·관리책임자에게 사전 예방 의무를 명시적으로 부과합니다. 사고 발생 시 법원이 따지는 것은 "사실 인지 여부"가 아니라 "보안 대책 수립 여부"입니다. 2021년 서울행정법원은 사실을 몰랐다는 사유는 관리 책임자에게 면책 사유가 될 수 없다고 판시했고, 이 입장은 이후에도 일관되게 유지되고 있습니다.

다시 말해, “몰랐다”는 주장은 면책이 아니라 '관리 의무 불이행과 내부통제 부재'의 자기 입증이 됩니다.

미토스 사건은 이 문제를 한 단계 더 가혹하게 만듭니다. 이제는 "내가 직접 알지 못한 영역에서 발생한 일"이라는 항변 자체가 시대 착오가 됩니다. AI 시대의 보안 위협은 어느 한 영역에 갇혀 있지 않고, 조직 전체의 의사결정 체계를 시험합니다. CEO가 이를 모르는 것이 아니라, CEO가 이를 알고 있어야 한다는 것이 시대의 새로운 기본 전제입니다.

미토스가 던진 진짜 질문

다시 처음으로 돌아가봅시다.

미토스 사건이 한국 스타트업 CEO에게 던진 화두는 ‘AI가 얼마나 무서운가’가 아닙니다. 진짜 질문은 이것입니다.

“보안 AI를 만든 회사조차 단순 설정 오류로부터 자유롭지 못한 시대에, 보안 전담 조직도 없는 우리 회사는 무엇을 근거로 안전하다고 믿고 있는가.”*

이 질문은 기술의 문제가 아닙니다. 거버넌스의 문제이며, 결국 책임 주체의 문제입니다.

그동안 수많은 기업이 사고를 겪고, 회복하고, 또 같은 실수를 반복하는 것을 봐왔습니다. 그 과정에서 한 가지 결론이 분명해졌습니다. 보안은 기술이 아니라 신뢰를 지키는 조직의 약속이며 그 약속을 실천할 사람이 정해져 있지 않은 회사는 미토스가 아니라 그보다 못한 무엇이 와도 흔들립니다.

CEO가 지금 해야 할 일은 거창한 것이 아닙니다. 세 가지면 충분합니다.

첫째, 책임 주체를 명확히 합니다. 외부 전문가를 위촉해서라도 CISO 또는 BISO를 지정하고, 보안의 최종 책임이 누구에게 있는지 조직 안팎에 분명히 합니다.

둘째, 자사가 어떤 정보를 어디에 보유하고 있는지를 가시화합니다. 클라우드, 사내 네트워크 저장소(NAS), 로컬 PC, 협업 도구에 흩어진 고객 정보의 위치와 접근 권한을 한 장의 문서로 정리합니다.

셋째, 개발 단계에서부터 보안을 설계에 넣는 원칙을 도입합니다. 수집 최소화, 암호화 저장, 접근 통제, 로그 기록. 이 네 가지가 모든 신규 기능 출시 전 반드시 통과해야 하는 체크리스트가 되어야 합니다.

미토스 시대의 보안은 더 이상 ‘어떻게 막을 것인가’의 문제가 아닙니다. ‘누가, 무엇을, 언제까지 책임지고 결정할 것인가’의 문제입니다.

CEO가 그 결정의 주체가 되는 순간 이전과는 다른 회사가 됩니다.