Claude Opus 4.6의 제로데이 500개 발견: AI 보안 연구의 새로운 시대

TL;DR

• Anthropic이 2026년 2월 5일 Claude Opus 4.6 출시
• 출시 전 테스트에서 500개 이상의 제로데이 취약점 발견
• GhostScript, OpenSC, CGIF 등 널리 사용되는 오픈소스 라이브러리에서 발견
• 특별한 프롬프팅이나 커스텀 도구 없이 "out-of-the-box"로 발견
• 모든 취약점은 메인테이너에게 리포팅되어 패치됨

배경: Opus 4.6은 무엇이 다른가?

Anthropic은 2026년 2월 5일 Claude Opus 4.6을 발표했다. Opus 4.5 출시 후 불과 3개월 만의 업그레이드다.

주요 특징:

• 1M 토큰 컨텍스트 윈도우 (Opus 모델 최초)
• Agent Teams - 멀티 에이전트 협업 기능
• Adaptive Thinking - 작업 복잡도에 따른 자동 추론 레벨 조정
• 벤치마크 전반에서 GPT-5.2, Gemini 3 Pro 능가

하지만 진짜 주목할 만한 건 숫자가 아니다. 500이라는 숫자, 바로 출시 전 테스트에서 발견한 제로데이 취약점의 수다.

실험 셋업: 어떻게 테스트했나?

Anthropic의 Frontier Red Team은 Opus 4.6을 샌드박스 환경에 넣고 다음을 제공했다:

• 최신 오픈소스 프로젝트 소스코드
• Python 실행 환경
• 표준 취약점 분석 도구 (디버거, 퍼저 등)

제공하지 않은 것:

• 도구 사용법에 대한 지시
• 특정 취약점을 찾기 위한 프롬프트
• 커스텀 하네스나 specialized 지식

즉, "알아서 해봐"라는 설정이다. 그리고 Opus 4.6은 500개 이상의 고위험 취약점을 찾아냈다.

발견된 취약점 상세 분석

1. GhostScript - Git 히스토리 분석을 통한 발견

GhostScript는 PDF/PostScript 처리에 널리 사용되는 유틸리티다. Opus 4.6의 접근 방식이 흥미롭다.

시도 1: 퍼징 → 실패
시도 2: 수동 코드 분석 → 의미 있는 결과 없음
시도 3: Git 커밋 히스토리 분석 → 성공!

Opus 4.6은 보안 관련 커밋을 찾아 이렇게 추론했다:

"stack bounds checking for MM blend values" 관련 커밋이 있다. 이 커밋이 bounds checking을 추가한다면, 이전 코드는 취약했다는 의미다. 비슷한 다른 코드 경로에도 같은 문제가 있을 수 있다.

그리고 gdevpsfx.c에서 동일한 패턴의 미패치 취약점을 발견했다. 같은 함수를 호출하지만 bounds checking이 없는 코드였다.

핵심 인사이트: AI가 "과거 수정 패턴"을 학습해서 유사한 미수정 취약점을 찾는 방식. 이건 숙련된 보안 연구자의 방법론과 같다.

2. OpenSC - 위험한 함수 패턴 탐색

OpenSC는 스마트카드 데이터 처리 유틸리티다. 여기서도 퍼징이 먼저 실패했다.

다음 접근법:

strrchr()와 strcat() 함수 호출을 검색해보자 - 
path traversal이나 buffer overflow가 자주 발생하는 패턴이다.

strcat 연속 호출 지점을 발견:

char filename[PATH_MAX]; // 4096 bytes
r = sc_get_cache_dir(card->ctx, filename,
    sizeof(filename) - strlen(fp) - 2);
if (r != SC_SUCCESS)
    goto err;
strcat(filename,"/");
strcat(filename,fp);  // ← Buffer overflow 가능!

기존 퍼저들이 이 코드를 거의 테스트하지 못한 이유는 트리거를 위한 전제조건이 많기 때문이다. Opus 4.6은 코드를 "이해"하고 어떤 부분이 취약한지 추론할 수 있었다.

3. CGIF - LZW 알고리즘 이해를 통한 발견

CGIF는 GIF 파일 처리 라이브러리다. 이 케이스가 가장 인상적이다.

GIF는 LZW 압축을 사용한다. CGIF는 "압축 후 크기가 원본보다 작다"고 가정한다. 보통은 맞는 가정이다.

하지만 Opus 4.6은 이걸 깨뜨렸다:

LZW 심볼 테이블이 최대 크기(4096)에 도달하면 'clear' 토큰이 삽입된다. 이를 반복하면 압축 후 크기가 원본보다 커질 수 있다 → Heap buffer overflow 발생!

이 취약점의 특이점:

• 100% 라인/브랜치 커버리지로도 발견 불가
• 매우 특정한 연산 시퀀스가 필요
• LZW 알고리즘에 대한 개념적 이해가 필수

전통적인 퍼저로는 사실상 불가능한 발견이다.

기존 도구와의 비교

OSS-Fuzz 같은 프로젝트들이 수백만 CPU 시간을 투자한 코드베이스에서도 Opus 4.6은 수십 년 동안 숨어있던 취약점을 찾아냈다.

보안 업계에 미치는 영향

긍정적 측면

1. 방어자 우위 확보 가능성
   Logan Graham (Anthropic Frontier Red Team 리드):

   "앞으로 오픈소스 소프트웨어 보안이 주로 이 방식으로 이루어질 수도 있다"

2. 리소스 부족 프로젝트 지원
   많은 오픈소스 프로젝트가 전담 보안 팀 없이 운영된다. AI 기반 취약점 발견은 이들에게 큰 도움이 된다.

3. 인간 검증 + AI 발견 조합
   Anthropic은 모든 취약점을 인간이 검증하고, 패치도 인간이 작성했다. AI-Human 협업의 좋은 모델.

우려되는 측면

1. 공격자도 같은 도구 사용 가능
   DevOps.com 기사 제목: "Is Claude Opus 4.6 the Best Security Researcher Ever?"

   "만약 악의적인 행위자에게 600개의 새 취약점이 첫날부터 주어진다면?"

2. Dual-use 딜레마
   강력한 취약점 발견 능력은 방어와 공격 모두에 사용될 수 있다.

3. 책임감 있는 공개의 중요성
   Anthropic은 Responsible Disclosure를 통해 먼저 패치를 유도했다. 하지만 모든 AI 제공자가 이렇게 할까?

Anthropic의 안전장치

Opus 4.6 출시와 함께 새로운 보안 조치도 도입됐다:

• 6개의 새 사이버보안 프로브 - 모델 내부 활성화를 모니터링
• 실시간 트래픽 분석 - 잠재적 악용 탐지
• 사용 패턴 모니터링 - 의심스러운 행동 차단

벤치마크 성과 (참고)

제로데이 발견만큼 중요하진 않지만, Opus 4.6의 전반적인 성능도 인상적이다:

특히 ARC-AGI 2에서 GPT-5.2 대비 14.6% 포인트 앞선 건 "새로운 문제 해결 능력"에서 큰 차이가 있음을 보여준다.

결론

Claude Opus 4.6의 500+ 제로데이 발견은 단순한 마케팅 수치가 아니다. AI 보안 연구의 패러다임 전환을 보여주는 사례다.

핵심 포인트:

1. AI가 "코드를 이해하고 추론"하는 방식으로 취약점 발견 가능
2. 전통적인 퍼징으로는 발견 불가능한 복잡한 논리적 취약점도 발견
3. 방어자와 공격자 모두에게 게임 체인저가 될 수 있음
4. Responsible Disclosure와 인간 검증의 중요성 재확인

앞으로 AI가 보안 연구에서 어떤 역할을 할지, 그리고 이를 어떻게 책임감 있게 사용할지가 중요한 화두가 될 것이다.

References

• Anthropic Red Team Blog: 0-Days
• Anthropic News: Claude Opus 4.6
• The Hacker News: Claude Opus 4.6 Finds 500+ High-Severity Flaws
• Axios: Anthropic's Claude Opus 4.6 uncovers 500 zero-day flaws