파트너십
IBM, Concert Protect에 Claude Mythos 스캔 기능 추가 계획
Unite.AI를 Google의 선호 소스에 추가
IBM은 2026년 11월 9일, 이전에 알려지지 않은 취약점을 찾아내고 악용 가능성을 검증하며 수정 작업을 앞당기기 위해 Anthropic의 Claude Mythos 사이버 추론 기능을 Concert Protect에 추가할 계획이라고 발표했다. 정식 제공은 2027년 초를 목표로 한다.
계획된 기능은 Mythos 기반 AI 코드 스캔을 Concert Protect의 노출 관리 도구와 결합한다. 고객이 선택한 애플리케이션 코드 저장소를 검사해 복잡한 로직 결함, 잠재적 제로데이 취약점 및 기존 시그니처나 공통 취약점 및 노출(CVE) 기록이 없는 기타 취약점을 찾아낸다. 그런 다음 발견 사항을 일반 스캐너 결과와 동일한 취약점 관리 수명 주기에 반영한다.
이 설계에는 AI 기반 발견이 빨라질수록 분류와 수정의 중요성도 커진다는 IBM의 견해가 반영돼 있다. 보안팀이 어떤 결함이 실제 공격 경로로 이어질 수 있는지 확인하고 그 평가를 수정 조치로 연결하지 못한다면, 발견 사항이 더 많이 쏟아져도 운영상 가치는 제한적이다.
알려지지 않은 결함을 맥락에 따라 검증
Concert Protect는 이러한 발견 사항을 반영할 환경 평가 기능을 이미 제공한다. 현재 제품 문서에 따르면 이 플랫폼은 코드, 애플리케이션, 인프라, 런타임 및 비즈니스 맥락을 서로 연계해 특정 환경에서 취약점이 악용될 수 있는지 평가한다. 이 분석은 공격에 필요한 전제 조건, 영향을 받는 워크로드 및 잠재적 공격 경로를 파악하도록 설계돼 있어, 심각도 점수나 일반적인 악용 가능성 예측을 넘어서는 근거를 제공한다.
Mythos가 생성한 발견 사항의 경우, 계획된 악용 가능성 검증 단계에서 코드, 구성 및 인프라 맥락을 살펴 실제로 가능한 악용 경로를 평가하고 이를 뒷받침하는 근거를 제공한다. 이러한 발견 사항은 모두 별도의 AI 알림 대기열로 분리되는 대신 기존 스캐너의 결과와 함께 Concert Protect의 확립된 평가 및 수정 워크플로에 포함된다.
IBM은 또한 Secure Coder가 코드 작성 중 취약점, 비밀 정보 및 종속성 위험을 탐지하고, 통합 개발 환경에서 실시간 인사이트와 안내에 따른 수정 방법을 제공한다고 설명한다. Mythos 계획은 이와 상호 보완적인 대상을 다룬다. 기존 스캐너가 놓칠 수 있는, 이전에 알려지지 않은 취약점을 찾기 위해 선택된 코드 저장소를 분석하는 것이다.
수정 과정에서 개발자 승인
검증이 끝나면 Concert Protect와 Red Hat Lightwell은 악용 가능한 위험의 우선순위를 정하고, 신뢰할 수 있는 백포트 오픈 소스 수정 사항을 활용해 대상에 맞는 수정 변경 사항을 생성할 예정이다. 개발자는 자동화된 풀 리퀘스트 워크플로를 통해 해당 변경 사항을 검증하고 검토한 뒤 승인하게 된다.
이 과정에서는 수정 준비와 워크플로 조정을 자동화하면서도 수정 작업을 진행할지에 대한 명시적인 결정은 사람이 내리도록 한다. 또한 보안 우선순위 지정 과정을 애플리케이션 개발 및 운영과 연결한다. 이 팀들은 Concert Protect가 이미 취약점 수정 작업을 위해 한데 모으고 있다.
2027년 초 제공 목표
이번 발표는 고객 대상 계획과 앞서 IBM 및 Anthropic이 진행한 Project Glasswing 작업을 구분한다. 후자는 내부 보안 연구와 평가에 초점을 맞췄다. Concert 통합은 관리 체계가 적용된 보안 운영 워크플로를 통해 기업 고객에게 Mythos 기능을 제공하고, 개발자 검토를 구체적인 통제 지점으로 삼을 예정이다.
2027년 초 제공을 목표로 한다는 것은 이러한 기능이 결합된 형태로 아직 정식 제공되고 있지 않다는 뜻이다. 다만 제안된 역할 분담은 분명하다. Mythos는 알려진 시그니처를 넘어 발견 범위를 넓히고, Concert Protect는 고객 환경을 기준으로 발견 사항을 검증하며, 개발자는 수정 작업에 대한 승인 권한을 유지한다. 실제 도입 과정에서 관건은 이러한 결합을 통해 AI가 찾아낸 더 광범위한 취약점을 충분한 근거를 갖춘 우선순위와 승인된 수정 조치로 전환하면서, 또 하나의 분리된 보안 워크플로를 만들지 않을 수 있느냐는 점이다.
