Z.ai ‘GLM-5.3’, Anthropic ‘Mythos 5’와 취약점 탐지 성능 근접

중국 Z.ai, 오픈소스 GLM-5.3로 취약점 탐지 성능 높이며 악용 공격 역량은 Anthropic ‘Mythos 5’에 뒤처진다

중국 AI 스타트업 Z.ai는 최신 모델 ‘GLM-5.3’ 성능을 공개하며 취약점 탐지에서는 Anthropic의 제한 접근 모델 ‘Mythos 5’와 근접한 수준을 보인다고 주장하고, 소프트웨어 검사와 보안 취약점 진위 판별을 평가하는 ‘CyberGym’ 벤치마크에서 GLM-5.3이 84.5%를 기록하고 Mythos 5가 83.8%를 기록했다고 밝히며, 이 수치는 Z.ai가 자체 제공한 데이터로 아직 독립 검증은 이루어지지 않았다는 점이 남아 있다.
GLM-5.3는 취약점을 실제 공격 코드로 전환하는 능력을 측정하는 ‘ExploitBench’에서 54.4%를 기록한 반면 Anthropic의 ‘Mythos 5’는 78%를 기록해 악용 코드 생성 측면에서 성능 격차가 뚜렷하게 드러나며, Z.ai가 실시한 시간 제한 공격 개발 과제에서도 GLM-5.3는 2시간 내 105개, 6시간 내 130개를 완료한 반면 Mythos 5는 같은 시간에 각각 181개와 247개를 완료해 고도화된 사이버 공격 자동화 역량이 여전히 폐쇄형 모델에 집중돼 있음을 보여준다.
Anthropic의 Mythos 5는 ‘Claude Fable 5’ 기반으로 사이버보안 용도에 맞게 일부 안전장치를 제거한 특수 버전으로 설계되었으며, 취약점 식별과 악용까지 지원하는 위험성을 고려해 사전 심사를 거친 조직에만 접근을 허용하는 제한적 배포 정책을 채택하고 있어 고위험 보안 AI는 폐쇄형·심사형 모델로 관리해야 한다는 글로벌 규범 형성이 진행 중임을 시사하며, 이러한 설계는 고급 공격 도구의 무분별한 확산을 제어하기 위한 산업계 자율 규제 흐름으로 볼 수 있다.
Z.ai는 GLM-5.3를 약 2주 내 일반에 공개하되 추가 보안 평가와 안전장치 강화를 거친 후 배포하고 민감한 사이버보안 기능은 ‘trusted access’ 프로그램을 통해 검증된 사용자에게만 제공하겠다고 하면서, 잠재적으로 위험한 요청을 걸러내는 스크리닝 시스템과 모델 활동 모니터링, 악의적 작업 수행을 억제하는 학습 설계를 도입했다고 설명하고 있으며, 이와 동시에 오픈소스 다운로드 이후 외부 개발자가 모델을 수정하거나 다른 도구와 결합해 원 개발사가 부여한 안전장치를 약화시킬 수 있다는 구조적 위험을 인정해 오픈소스 AI 보안 통제의 한계를 드러내고 있다.
Z.ai는 GLM-5.3를 미국 기업 Anthropic의 고성능 사이버보안 모델과 같은 제한 접근 체계에 대한 오픈소스 대안으로 위치시키며, 방어적 보안용 고급 AI 도구를 오픈소스 개발자와 소규모 보안팀도 활용할 수 있어야 한다고 주장하고, 이를 뒷받침하기 위해 일부 오픈소스 프로젝트를 감사하고 방어 목적의 모델 접근을 제공하며 자사의 프로그래밍 제품 ‘ZCode’에 코드 감사 기능을 추가하는 ‘Open Source Shield’ 이니셔티브를 예고하고 있는데, 이는 이전 버전 GLM-5.2가 코드 작성과 AI 에이전트 활용에서 개발자 주목을 받은 기반 위에 추가 후속 학습과 강화학습을 거쳐 사이버보안 분야에서 개방형 AI가 미국 주도 폐쇄형 시스템과 어느 정도 경쟁할 수 있는지 시험하는 포지셔닝 전략이다.
중국 Z.ai의 GLM-5.3와 미국 Anthropic ‘Mythos 5’ 간 취약점 탐지·악용 성능 비교와 오픈소스 개방·제한 접근 배포 전략은 첨단 보안 AI 역량이 미중 기업 중심으로 재편되는 구조를 드러내며, 개방형 모델이 방어 목적에 쓰이는 동시에 악용 공격 자동화에 활용될 수 있는 이중용도 특성이 강화되는 만큼 한국은 취약점 탐지·코드 감사 등 방어 기술은 적극적으로 개방형 생태계와 연계하되 ExploitBench와 같은 공격 코드 생성·평가 도구 및 고위험 모델은 국가 차원의 접근 심사·규제 체계를 검토해 국내 보안 산업 육성과 사이버 공격 남용 방지를 함께 도모하는 정책 설계가 필요하다.

GLM-5.3와 Mythos 5의 성능·배포 전략은 보안 AI를 개방형으로 둘지 심사형으로 관리할지에 대한 실험이므로, 한국은 개방형 모델을 활용한 취약점 탐지·코드 감사 역량을 산업 전반에 확산시키는 동시에 악용 공격 생성 기능과 관련된 모델·벤치마크는 국가 차원의 사용 기준과 검증 체계를 마련해 공공·민간의 공동 가이드라인을 서둘러 설계해야 한다.

주요 용어: GLM-5.3(Z.ai가 개발한 오픈소스 AI 언어 모델로 사이버보안 취약점 탐지와 활용을 목표로 한 최신 버전), Mythos 5(Anthropic의 Claude Fable 5를 기반으로 안전장치 일부를 제거해 사이버보안용으로 설계된 제한 접근 AI 모델)

출처: Storyboard18