Comcast와 Booz Allen, Claude Mythos로 익스플로잇 체인을 발견해 코드베이스 방어에 나서

Anthropic은 중요 인프라의 방어 측에 코드베이스 보호에서 앞설 기회를 주는 제한적 접근 프로그램으로 Project Glasswing을 출범했다. 이번 주에는 확장판 Cyber Verification Program(CVP)을 시작해, 요건을 충족하는 보안 전문가에게 고급 사이버 기능과 차단 분류기를 완화한 이용 환경을 제공한다. 참여 조직들이 공통적으로 지적한 것은, 기존 도구가 단일 취약점은 개별적으로 찾을 수 있어도 작은 약점들을 엮는 익스플로잇 체인을 추적하기는 어렵다는 점이다.

Comcast는 258개의 사업상 중요한 시스템, 약 1억 7000만 행의 코드를 대상으로 한 평가에서 공개 플랫폼의 인증과 관련된 치명적 취약점을 특정했다. 단일 결함 부품이 원인이 아니라, 개별로 보면 올바른 것처럼 보이는 여러 시스템과 전제의 상호작용에서 비롯되었다. 엔지니어들은 가동 중인 애플리케이션에서 도달 가능성을 확인하고, 근본 원인을 추적해 수정했으며, 악용되지 않았다는 것도 검증했다. Noopur Davis는 발견은 빠르고 쉬워졌지만 대량의 발견을 검증하는 일이 새로운 병목이 되었다고 말했다.

Booz Allen은 평가 기간이 고정된 상황에서 Claude Mythos Preview를 사용해, 통상의 기간으로는 다 살펴볼 수 없는 양의 소프트웨어를 확인하고 연쇄될 수 있는 약점을 도출했다. 한 사례에서는 OS 로드 이전에 실행되는 부트 코드의 결함이 발견되었다. 단말을 잠그거나 데이터를 지울지 판단하는 보안 키가 보호되지 않은 채 설정이 꺼진 상태로 기록되어 있었고, 후속 보호 기능도 활성화되지 않은 상태였다. Claude는 이 하나의 설정을 두 가지 언어로 작성된 두 프로그램에 걸쳐 추적해 문제를 찾아냈다.

Booz Allen에 따르면, 한 명의 분석가가 12일 동안 138개의 리포지토리에 걸친 8개의 운영 시스템을 점검했다. 같은 규모의 검토는 기존에는 많은 인력이 수개월을 들여야 했다고 한다. 다만 Brad Medairy는 후보의 검증, 체계적 패턴의 중복 제거, 적절한 담당자에게의 배정은 여전히 사람이 맡는다고 말했다. 판단은 운영자에게 남기고, 모델이 감시할 수 있는 범위를 넓혀 가는 방식이 제시되고 있다.