'AI가 코드 짜준다'는 이미 옛말입니다 — Claude가 인간이 2년 못 깬 암호를 60시간에 깬 날

AI가 '코드 조수'에서 '연구자'로 넘어간 경계선이 방금 그어졌습니다. 사람 전문가 여러 명이 2년간 검증하던 암호를, AI가 사흘도 안 되는 시간에 흔들어 버렸거든요.

핵심 요약 (TL;DR)

• Anthropic이 미공개 모델 Claude Mythos Preview로 NIST 양자내성 서명 후보 HAWK-256의 새 대칭성을 찾아 공격 비용을 2^64에서 2^38로 낮췄습니다(약 60시간·API 비용 약 $10만·토큰 약 10억 개).
• HAWK 팀은 발표 다음 날 NIST 표준화 프로세스에서 후보를 자진 철회했습니다. 다만 당신이 실제로 쓰는 암호는 안전합니다.

Claude가 정확히 무엇을 깼나

Anthropic은 연구 발표(https://www.anthropic.com/research/discovering-cryptographic-weaknesses)에서 HAWK-256의 숨은 자기동형, 즉 새로운 대칭성을 찾아냈다고 밝혔습니다. 이 발견으로 공격 비용이 2^64에서 2^38로 떨어졌죠. 사람 여럿이 NIST 표준화 라운드를 거치며 오래 검증한 구조를, 멀티에이전트 환경의 AI가 약 60시간 만에 흔든 겁니다. 덤으로 AES-128의 7라운드 공격을 200~800배 빠르게 하는 'Möbius Bridge' 최적화까지 발견했고요. 여파로 HAWK 팀은 발표 다음 날 NIST 추가 서명 표준화에서 후보를 자진 철회했습니다("파라미터를 두 배로 키우면 경쟁력이 없다"). 단, 이 철회 사실은 Anthropic 원문이 아니라 2차 매체 보도로 확인된 내용입니다.

그럼 내 서비스 암호가 위험한 건가

아닙니다. 그리고 이 구분이 이 뉴스에서 가장 중요합니다. HAWK-256은 실제 배포되는 표준 버전이 아니라 연구용 챌린지 파라미터였고, AES 공격도 10라운드 중 7라운드에 현실적으로 불가능한 조건이 필요했습니다. Anthropic 원문도 "no production software will have to change", 즉 바꿔야 할 프로덕션 소프트웨어는 없다고 못박았죠. "당신의 HTTPS나 은행 암호가 뚫렸다"는 식의 과장은 사실이 아닙니다. 무서운 건 결과가 아니라 방법론입니다.

바이브코더에게 이건 무슨 예고편인가

"AI가 코드 짜준다"는 이미 지난 문장입니다. 다음 단계는 'AI가 취약점을 찾고, 리팩터하고, 보안 감사를 수행하는' 단계죠. 코드를 '생성'하는 도구에서 코드를 '심문'하는 도구로 무게추가 옮겨가고 있습니다. 곧 보안 스캔과 리팩터 제안이 코딩 에이전트의 기본 기능으로 들어올 겁니다. 바이브코더에게 열린 다음 문은 '더 빨리 만들기'가 아니라 '만든 걸 스스로 검증하기'인 거죠.

FAQ

Q. 지금 당장 내 서비스의 암호 설정을 바꿔야 하나요?
아닙니다. 이번 발견은 연구용 파라미터를 대상으로 했고, 원문도 프로덕션에는 변경이 필요 없다고 명시했습니다. 지금 조치할 일은 없습니다.

Q. Claude Mythos Preview는 지금 쓸 수 있나요?
아니요. 미출시 프리뷰 모델입니다. 일반 사용자가 접근할 수 있는 제품이 아니라, 이런 연구가 가능해졌다는 신호로 읽는 게 맞습니다.

Q. 바이브코더가 이 뉴스에서 실제로 얻을 게 있나요?
방향입니다. AI에게 코드를 맡기는 것을 넘어, AI에게 '내 코드의 취약점을 찾아 달라'고 시키는 습관을 지금부터 들이는 것. 그게 다가올 보안 에이전트 시대의 준비 운동입니다.

인간이 2년간 못 깬 문제를 AI가 사흘 만에 흔든 이 사건은, 도구의 성능이 아니라 도구가 다루는 '일의 종류'가 바뀌었음을 보여줍니다. 이 전환의 좌표가 궁금하시다면 『바이브코딩 타임라인 — 2025~2026 주요 변화 기록』에서 더 자세히 확인하실 수 있습니다.

출처: https://www.anthropic.com/research/discovering-cryptographic-weaknesses · https://thehackernews.com/2026/07/claude-ai-just-cracked-post-quantum.html