Mythos가 Firefox 271개 찾았다? — 어드바이저리는 3개라고 말한다

4월 23, 2026

Mythos Firefox 271 vs CVE 3 — Mozilla 블로그와 보안 어드바이저리 비교 썸네일

같은 달, 같은 Mozilla — 두 문서 숫자가 90배 다르다

“Mythos가 Firefox에서 취약점 271개를 찾아 고쳤다”는 Mozilla 공식 블로그 문장과, “Firefox 150 보안 어드바이저리에 CVE 40개, 그중 Anthropic 크레딧은 3개”라는 같은 Mozilla의 공식 집계가 같은 4월에 나왔다. 둘 다 공개돼 있다.

271을 먼저 들으면 놀랍다. 같은 릴리즈 어드바이저리의 CVE 40개는 이상하다. 그 40개 중 Anthropic 크레딧 3개라는 사실은 두 문서가 서로 다른 것을 세고 있다는 감을 준다. 세 문장 전부 Mozilla가 직접 올린 공식 자료다.

이 글은 AI 보안 리포트를 읽는 독자를 위해, 왜 숫자가 벌어지는지를 공식 자료만으로 대조하고 제시된 설명 가설을 짚는다.

층 1 — Mozilla 블로그의 271이라는 숫자

Mozilla는 2026년 4월 공식 블로그 “The zero-days are numbered”(blog.mozilla.org/en/privacy-security/ai-security-zero-day-vulnerabilities/)에서 Firefox 150이 Claude Mythos Preview로 평가한 뒤 271개 취약점을 수정했다고 적었다.

같은 달 Anthropic이 red.anthropic.com/2026/mythos-preview/에 올린 Mythos 공식 소개는 능력 수치를 제공한다. Firefox 147 JavaScript 엔진 테스트에서, 이전 모델 Opus 4.6은 수백 시도 중 실제 익스플로잇을 2번 만들었다. Mythos는 같은 조건에서 181번, 레지스터 제어(익스플로잇이 실제 실행 제어권을 잡는 단계)까지 간 경우가 29번이었다.

능력 자체는 공식 측정으로 실재한다. 이 수치가 뒤에 있으니 Mozilla의 “271 발견”이 단독으로 나왔을 때 독자 입장에서 반박할 근거가 없어 보인다.

층 2 — 보안 어드바이저리의 40과 3, 그리고 2월의 정합

Firefox 150의 공식 보안 어드바이저리는 같은 릴리즈 창에 40개 CVE(공식 취약점 식별 번호)를 공개했다. 그중 Anthropic 또는 Claude 크레딧이 붙은 건 3개다. 블로그의 271과 어드바이저리의 3 사이에 90배 가까운 격차다.

바로 두 달 전 Firefox 148 라운드에서는 어드바이저리 51 CVE, 블로그 22 Anthropic 크레딧으로 숫자가 맞았다. Mozilla가 두 문서에 같은 단위를 썼다는 뜻이다. 그런데 바로 다음 라운드에서 블로그만 271로 뛰었고 어드바이저리는 기준을 유지했다.

The Register는 4월 22일 “Mythos found 271 Firefox flaws – but none a human couldn’t spot”(theregister.com)로 기사를 냈고, flyingpenguin은 같은 격차를 “22 vulns became 271 or maybe 3”(flyingpenguin.com)로 짚었다. 확인한 범위에서는 한국어 매체에 이 격차를 다룬 기사가 아직 없다.

층 3 — 숫자가 다른 이유는 추측이다

flyingpenguin은 정적 분석 도구의 일반적 행태 가설을 제시했다. 같은 버그 패턴이 여러 파일에서 반복 나타나면 도구는 인스턴스를 따로 센다. 한 취약 패턴이 90개 모듈에 있으면 스캔 결과는 “90개”지만 CVE는 1개로 집계된다. 블로그가 인스턴스를, 어드바이저리가 CVE를 센 것일 수 있다.

이 가설이 맞다면 Mozilla는 악의가 아니다. 다만 가설이다. Mozilla도 Anthropic도 “다른 단위를 썼다”고 공식 설명하지 않았다. 2차 출처 한 곳이 제시한 가능성일 뿐 확인된 게 아니다.

더 중요한 건 정합성이다. 단위를 바꿨다면 그 변경을 블로그에 병기할 책임이 Mozilla에 있다.

세 숫자를 따로 기억하자

공식 자료만으로 확인 가능한 건 세 가지다.

능력: Firefox 147 테스트에서 181 exploit · 29 register control
발견: Firefox 150 블로그 271, 단위 불명
등록: Firefox 150 어드바이저리 40 CVE, Anthropic 크레딧 3

대화 중 어떤 숫자가 나오는지가 AI 보안 도구의 평가를 완전히 바꾼다.

Mozilla가 두 달 전에는 맞췄다는 사실이 이 글의 결론 근거다. 그 전에 맞출 수 있었다면 지금 벌어진 건 단위 변경이거나 측정 방식 혼선이다. 어느 쪽이든 블로그 본문에 주석이 있어야 했다.

당장 할 수 있는 일은 간단하다. “Mythos가 X개 찾았다”는 문장을 볼 때 X가 인스턴스인지 CVE인지 먼저 묻는다.

다음 라운드 Firefox 151(6월 초 예정)이 나올 때 두 문서 숫자가 다시 맞는지, 또는 Mozilla가 단위를 명시하는지 관찰한다. 후속은 이 블로그에 다시 올린다.

이 블로그의 의심 프레임 시리즈(“엔드포인트 죽음”, “Kimi 판정 보류”)에 이은 세 번째 기록이다.

태그: #Mythos #Anthropic #Firefox #Mozilla #AI보안 #CVE #ProjectGlasswing

이 블로그 검색

AI 도구 매일 노트 — 해고된 개발자의 기록