Claude 암호분석, AI 연구 자동화의 위험한 성과

Claude가 암호 알고리즘을 건드렸다

Anthropic은 2026년 7월 28일 Claude Mythos Preview를 활용해 암호 알고리즘 공격을 개선했다고 발표했다. 발표 요지는 두 가지다. 하나는 포스트퀀텀 시대를 겨냥한 디지털 서명 체계 HAWK의 보안 여유를 크게 약화하는 공격이고, 다른 하나는 널리 쓰이는 AES의 축소 라운드 버전에 대한 새로운 공격 경로다. Anthropic은 이것이 상당한 연구 진전이지만 현재 생산 시스템에는 영향을 주지 않는다고 선을 그었다.

동시에 Anthropic의 연구 데모 저장소에는 AES, HAWK, LEA 관련 코드가 올라왔다. 저장소는 연구 산출물이며 유지보수와 기여를 받지 않는다고 밝힌다. 보안 연구에서 이런 공개는 중요하다. 주장의 재현 가능성을 높이지만, 공격 아이디어가 더 넓게 퍼질 가능성도 함께 만든다.

AI가 연구자의 손을 어디까지 대신하는가

암호분석은 모델이 답변을 잘 쓰는 문제와 다르다. 수학적 구조를 파악하고, 기존 문헌과 차이를 찾고, 공격 비용을 낮추는 아이디어를 검증해야 한다. Claude가 여기서 역할을 했다는 것은 AI 연구 자동화가 논문 요약이나 코드 작성 단계를 넘어 가설 생성과 탐색으로 들어갔다는 뜻이다. 테렌스 타오의 ChatGPT 대화가 바꾼 수학 검증에서 본 수학 보조 흐름과 같은 축에 있다.

하지만 암호 분야는 실패 비용이 더 크다. 틀린 주장은 학술적 혼란을 만들고, 맞는 주장은 공격자에게도 도움이 된다. OpenAI와 Hugging Face 보안 사고가 보여준 것처럼 에이전트가 보안 경계를 다룰 때는 의도와 결과가 쉽게 엇갈린다. 따라서 발표의 핵심은 "AI가 해냈다"보다 "어떻게 검증하고 어디까지 공개할 것인가"다.

한국 보안팀에는 조기경보 체계가 필요하다

한국 기업이 이번 뉴스를 당장 암호 교체 신호로 읽을 필요는 없다. Anthropic도 생산 시스템 영향은 없다고 밝혔다. 그러나 표준 후보, 내부 프로토콜, 자체 암호 구현을 쓰는 조직은 대응 방식이 달라져야 한다. AI가 암호분석의 탐색 비용을 낮춘다면, 과거에는 학계의 느린 검토에 기대던 약점이 더 빨리 드러날 수 있다.

국내 금융, 통신, 공공 기관은 암호 자산 목록부터 점검해야 한다. 어떤 라이브러리와 알고리즘을 쓰는지, 표준 변경 시 교체 경로가 있는지, 포스트퀀텀 전환 계획이 문서화되어 있는지가 중요하다. MAI-Cyber-1-Flash, 보안 AI의 비용 전쟁에서 다룬 전문 보안 모델 경쟁은 이제 취약점뿐 아니라 암호 연구까지 넓어질 수 있다.

공개의 기준이 경쟁력이 된다

Anthropic의 발표는 AI 연구 기업이 위험한 성과를 어떻게 설명해야 하는지에 대한 시험대이기도 하다. 생산 시스템 영향 여부, 공격 조건, 코드 공개 범위, 외부 검토 절차를 명확히 하지 않으면 시장은 과장과 공포 사이에서 흔들린다. Anthropic의 Responsible Scaling Policy처럼 모델 위험 관리를 말하는 문서도 이제 연구 산출물 공개 정책과 더 촘촘히 연결돼야 한다.

경쟁사들도 같은 문제를 피할 수 없다. OpenAI, Google, Microsoft 모두 보안과 과학 연구용 에이전트를 내세운다. 좋은 연구 자동화는 발견 속도를 높이지만, 좋은 거버넌스는 그 발견을 사회가 감당할 수 있는 속도로 공개한다. 이번 사례의 장기적 의미는 바로 그 균형에 있다.

자주 묻는 질문

Q1: HAWK가 바로 위험해졌다는 뜻인가요?

A: 발표 기준으로 생산 시스템 영향은 없다고 설명됐다. 다만 표준 후보와 구현은 추가 검토가 필요하다.

Q2: AES가 깨진 건가요?

A: 아니다. 발표는 축소 라운드 AES에 대한 연구 공격을 말한다. 실제 표준 AES 전체가 깨졌다는 뜻은 아니다.

Q3: Claude가 혼자 연구를 끝냈나요?

A: 그렇게 단정하기 어렵다. AI가 탐색과 공격 개선에 기여했지만, 검증과 해석은 연구자의 책임으로 남는다.

Q4: 기업은 무엇을 해야 하나요?

A: 암호 자산 목록, 라이브러리 버전, 포스트퀀텀 전환 계획, 취약점 공지 추적 체계를 점검해야 한다.

Q5: 가장 큰 시사점은 무엇인가요?

A: AI가 보안 연구의 속도를 높일수록 책임 있는 공개와 독립 검증이 더 중요한 경쟁력이 된다는 점이다.