AI 가드레일이 사이버보안 연구를 저해
원제: How AI guardrails are impeding the work of offensive cybersecurity researchers
왜 중요한가
AI 가드레일 정책이 사이버보안 연구 생태계에 미치는 실질적 영향과 규제 설계의 균형 문제가 업계 전반의 과제로 부상하고 있다。
AI 기업들이 악성 해커 차단을 위해 도입한 가드레일이 합법적인 공격형 사이버보안 연구자들의 업무를 방해하고 있다。2026년 6월에는 미국 정부가 Anthropic의 AI 모델 Mythos 및 Fable에 수출 통제를 부과했으며, 이후 Fable 5는 7월 1일 일반 접근이 복구되었다。
AI 기업들이 모델 오남용 방지를 위해 가드레일과 심사 프로그램을 강화하는 가운데, 이러한 조치가 정당한 사이버보안 연구자들의 활동을 제약하고 있다는 비판이 커지고 있다。
2026년 6월, 미국 정부는 Anthropic의 AI 모델 Mythos 및 Fable에 수출 통제를 부과했다。이는 모델의 가드레일을 우회해 악성 사이버공격에 활용할 수 있다는 보고서가 촉발한 조치였다。그 후 Fable 5에 대한 수출 통제는 7월 1일 해제되어 일반 접근이 재개되었으며, Mythos 5는 미국 정부 심사 과정의 일환으로 검증된 미국 내 기관에만 제한적으로 재개방되었다。
OpenAI와 Anthropic은 각각 'Trusted Access for Cyber 프로그램'과 'Cyber Verification Program'을 운영하며, 심사를 통과한 사이버보안 연구자에게만 제한 완화된 모델 접근을 허용하고 있다。
보안 연구자 Mark Dowd는 최근 사이버보안 팟캐스트에서 "대형 기업들이 보안상 무엇이 안전한지를 자의적으로 결정하는 것이 불편하다"고 말했다。수십 년간 정부에 제로데이 취약점을 판매해온 Dowd는 자신의 입장이 편향될 수 있다고 인정하면서도 문제의식을 표명했다。
NCC Group의 수석 과학자 Chris Anley는 AI 모델에게 버그 익스플로잇을 시도하도록 요청하는 것이 실제 취약점을 확인하는 핵심 단계라고 설명했다。그러나 가드레일이 응답을 거부하면 방어 측에도 피해가 된다며, "'코드를 수정하라'는 프롬프트는 방어에도 필수적이지만 동시에 취약점 발견의 로드맵이 될 수도 있다"고 지적했다。