전문서비스 / 기술 컨설팅
Booz Allen Hamilton: 보안 평가 업무에서 AI로 소프트웨어 취약점 연쇄를 찾고 수정안 마련
- 기업
- Booz Allen Hamilton
- 국가
- 미국
- 도입 상태
- 제한 운영
- 자료 공개
- 날짜 기준
- 자료 발표 시점. 도입 시작일과 다를 수 있음
- 근거 확인 방법
- 원문 본문 열람
업무 문제
Anthropic이 2026년 10월 6일 낸 글에 따르면 Booz Allen Hamilton의 보안 평가는 정해진 기간 안에 끝나야 해서, 엔지니어가 그 안에 읽을 수 있는 소스 코드, 설정, 컴파일된 소프트웨어의 양에 한계가 있었다. 실제 공격은 코드, 설정, 신원, 배포 설정에 걸친 작은 약점을 이어 붙이는 방식이 많은데, 큰 소프트웨어 묶음에서 이런 연결을 손으로 따라가는 일은 숙련자에게도 느렸다.
적용한 기술과 데이터
Booz Allen은 Project Glasswing으로 Claude Mythos Preview를 써서 짧은 평가 기간에 보통보다 훨씬 많은 소프트웨어를 검토하고, 이어 붙여 공격 경로가 될 수 있는 약점을 찾았다. 모델은 애플리케이션 동작, 설정, 신원, 권한, 배포 맥락을 연결해 보안 가설을 세우고, 수정안 초안과 해당 시스템을 맡은 엔지니어에게 넘길 증거를 정리한다. 찾은 내용을 검증하고 중복을 정리하며 담당자에게 넘기는 판단은 분석가가 맡는다.
성과
Booz Allen 국가 사이버보안 부문 사장에 따르면 분석가 한 명이 운영 시스템 8개, 저장소 138개를 12일 만에 검토했고, Mythos 없이 같은 규모를 검토했다면 더 큰 팀으로 몇 달이 걸렸을 것이라고 했다. 한 사례에서 모델은 기기 전원을 켤 때 운영체제보다 먼저 실행되는 코드가 잠금 또는 삭제를 판단할 때 쓰는 보안 키가 보호되지 않은 결함을, 두 가지 언어로 쓰인 두 프로그램에 걸쳐 설정 하나를 따라가며 찾아냈다.
한계와 남은 과제
평가를 받은 고객, 전체 발견 건수, 잘못된 지적의 비율은 원문에 없다.
출처
공개된 자료를 정리한 사례입니다. ATF Works 도입 고객의 결과가 아닙니다.