Anthropic이 AI 에이전트에 대해 중대한 보안 주장을 내놓고 있다. The Decoder가 Anthropic의 system card를 인용해 보도한 바에 따르면, 회사의 Auto Mode와 함께 사용된 Claude Opus 5는 129개의 테스트 시나리오 전반에서 브라우저 기반 프롬프트 인젝션 공격의 성공률을 0%로 낮췄다. 이 결과가 Anthropic 자체 평가 환경을 넘어 재현된다면, 이는 에이전트 보안에서 가장 어려운 문제 중 하나에 대한 주목할 만한 진전이 될 것이다.

이 소식이 중요한 이유는 프롬프트 인젝션이 웹을 탐색하고 문서를 읽으며 사용자를 대신해 행동하는 AI 에이전트를 배포할 때 핵심 장애물로 떠올랐기 때문이다. 이런 공격에서는 악성 지시가 웹페이지나 다른 외부 콘텐츠 속에 숨겨지고, 모델은 개발자나 사용자의 의도 대신 공격자의 지시를 따르게 된다. The Decoder가 인용한 12월 발언에서 OpenAI는 프롬프트 인젝션이 완전히 해결되지 않을 수도 있다고 말했다. 이런 배경에서 Anthropic의 보고 결과는 단순한 모델 업그레이드라기보다, 다층 방어가 브라우저 자동화를 의미 있게 더 안전하게 만들 수 있는지에 대한 시험처럼 보인다.

Anthropic이 말하는 Opus 5의 성과

The Decoder가 Anthropic의 system card를 보도한 내용에 따르면, 브라우저 공격 성공률 0%는 Claude Opus 5를 Auto Mode와 함께 Claude Cowork 같은 Anthropic 제품에서 사용할 때 기록되었다. 해당 평가는 129개의 브라우저 에이전트 테스트 시나리오를 포함했다.

모델 자체와 전체 제품 구성을 구분하는 것이 이 이야기의 핵심이다. The Decoder는 Claude Opus 5 단독으로는 0%에 도달하지 못했다고 보도한다. Auto Mode의 추가 보호 계층이 없을 때 브라우저 프롬프트 인젝션은 3.7%의 확률로 성공했다. 같은 보도에 따르면, 더 좁은 기준에서는 Sonnet 5가 0.93%로 Opus 5보다 더 나은 성과를 냈다. 다시 말해 Anthropic은 기본 모델만으로 문제를 해결했다고 주장하는 것이 아니다. 더 강한 주장은 모델과 런타임 보호장치를 함께 적용한 조합이 문제를 해결했다는 것이다.

이는 구매자와 개발자가 이 발표를 어떻게 읽어야 하는지에 중요하다. AI 에이전트 보안은 점점 모델 문제라기보다 시스템 문제로 바뀌고 있다. 브라우저 에이전트는 신뢰할 수 없는 콘텐츠, 다단계 작업, 그리고 행동 권한에 직면한다. 모델이 악성 텍스트를 더 잘 무시할 수는 있지만, 그것을 둘러싼 제품이 위험한 명령을 너무 쉽게 실행한다면 시스템은 여전히 노출된다.

왜 브라우저 프롬프트 인젝션이 그렇게 어려운 보안 문제인가

프롬프트 인젝션은 흔히 LLM 버전의 신뢰할 수 없는 입력 공격으로 설명되지만, 브라우저 에이전트는 이 문제를 더 악화시킨다. 라이브 웹페이지에서 동작하며, 임의의 텍스트, 숨겨진 요소, 또는 모델을 조작하도록 만들어진 지시를 포함할 수 있기 때문이다. 에이전트가 클릭, 복사, 양식 제출, 커넥터 접근, 민감한 데이터 처리를 할 수 있다면, 성공적인 프롬프트 인젝션은 단순히 나쁜 답변으로 끝나지 않는다. 데이터 유출이나 원치 않는 행동으로 이어질 수 있다.

그래서 이 결과가 재현 가능하다면 엔터프라이즈 AI와 AI 에이전트 전반에 더 넓은 의미를 갖는다. 가장 매력적인 자동화 사례의 상당수는 SaaS 도구, 내부 포털, 지원 콘솔, 공개 웹사이트를 탐색하는 일을 포함한다. 바로 그런 환경에서 숨겨진 지시나 적대적 지시가 나타날 수 있다.

The Decoder는 브라우저 기반 프롬프트 인젝션을 AI 에이전트를 위협하는 가장 큰 보안 결함으로 규정했으며, 이는 현재 시장의 우려를 반영한다. 에이전트 제품을 만드는 창업자와 이를 평가하는 기업 보안팀은 모든 자율 브라우저 동작을 신중하게 다뤄야 했다. 핵심 질문은 모델이 유용한가가 아니라, 적대적 콘텐츠 주변에서 신뢰할 수 있는가였다.

보안 접근은 순수한 모델 수준이 아니라 층위가 있는 구조로 보인다

보고된 0% 성공 결과는 Auto Mode에 의존했는데, The Decoder에 따르면 Auto Mode는 Claude Opus 5 위에 두 개의 독립적인 방어를 추가한다. 첫 번째 계층은 모델이 내용을 처리하기 전에 들어오는 콘텐츠를 스캔해 숨겨진 지시를 찾는다. 두 번째 계층은 실행 전에 위험한 행동을 차단한다. 설명된 대로라면 공격자는 이 두 보호장치를 각각 따로 뚫어야 한다.

이 아키텍처가 중요한 이유는, 고위험 위협을 완화할 때 보안팀이 일반적으로 사용하는 방식과 맞닿아 있기 때문이다. 위험한 입력은 격리하고, 의심스러운 콘텐츠는 분류하며, 실행은 통제한다. 실제로 이는 Anthropic이 프롬프트 인젝션을 순수한 추론 실패라기보다 종단 간 제품 보안 문제로 다루고 있음을 시사한다.

개발자에게는 즉각적인 함의가 있다. 브라우저 자동화를 제공하는 팀은 더 강력한 최첨단 모델 하나만으로 충분하다고 가정해서는 안 된다. 전처리 필터, 정책 엔진, 행동 승인 계층, 워크플로 주변의 더 엄격한 샌드박싱이 필요할 수 있다. Anthropic의 보고 결과는 방어 스택이 모델 단독보다 훨씬 나은 성과를 낼 수 있음을 시사한다.

Claude Cowork에 대한 언급은 Anthropic이 이것을 상업적으로 어디서 중요하게 보는지도 암시한다. 특히 브라우저 내에서 지식 노동자를 대신해 행동하는 제품은 벤치마크상의 지능만으로는 부족하다. 무작위 웹페이지의 숨겨진 텍스트를 시스템이 따르지 않을 것이라고 기업이 믿을 수 있게 해주는 통제가 필요하다.

증거, 벤치마크, 그리고 아직 검증되지 않은 부분

여기서 가장 강한 주장들은 벤더에 연결되어 있으므로 그렇게 읽어야 한다. The Decoder는 핵심 수치를 Anthropic의 자체 system card에 귀속시켰다. 129개의 브라우저 에이전트 시나리오에서 0% 성공률은 따라서 제3자의 독립 인증이 아니라 벤더가 보고한 평가 결과다.

The Decoder는 또한 보안 기업 Gray Swan의 별도 일반 프롬프트 인젝션 테스트를 인용한다. 그 테스트에서 15번의 공격 시도 후, 보고된 성공률은 Opus 4.8의 5.5%에서 Claude Opus 5의 2.0%로 감소했다. 이 Gray Swan 수치는 브라우저 에이전트 특정 설정 밖에서도 개선이 있음을 시사해 유용하지만, 여전히 하나의 벤치마크일 뿐이며 견고성에 대한 포괄적 증명은 아니다.

중요한 점은 기사 내용 자체가 더 넓은 결론을 제한한다는 것이다. 보고된 0%는 Auto Mode가 활성화된 브라우저 에이전트에만 적용되며, Claude Opus 5의 모든 사용에 해당하는 것은 아니다. 이러한 보호장치가 없을 때 The Decoder는 공격 성공률이 3.7%였다고 말한다. 이는 많은 관찰자들이 예상하는 것보다 훨씬 낫지만, 0은 아니다. 또한 모델 간 비교가 헤드라인이 보여주는 것보다 더 복잡하다는 뜻이기도 하다. 헤드라인은 Opus 5에 초점을 맞추지만, Auto Mode가 없는 브라우저 기준에서는 Sonnet 5가 Opus 5보다 더 나은 성과를 냈다고 보고됐다.

빠진 부분은 외부 검증이다. 원문 자료에는 공개 레드팀 환경, 고객 배포, 장시간의 실제 브라우징 세션에 대한 독립적 재현이 없다. 또한 129개 시나리오의 정확한 구성, 공격의 다양성, 성공의 정의가 좁은지 넓은지도 명시되어 있지 않다. 이러한 공백이 결과를 무효화하지는 않지만, 구매자들은 이를 확정된 사실이 아니라 유망한 증거로 받아들여야 함을 뜻한다.

이것이 개발자와 기업 구매자에게 의미하는 것

코딩 어시스턴트 제품, 업무 자동화 도구, 내부 AI 에이전트를 만드는 팀에게 실무적 교훈은 배포 아키텍처가 모델 선택만큼 중요할 수 있다는 점이다. Anthropic의 보고 수치는 콘텐츠 검사와 행동 게이팅으로 모델을 감싸면 브라우저 작업에서 악용 성공률을 크게 낮출 수 있음을 시사한다.

이는 엔터프라이즈 AI 구매자에게도 조달상의 함의를 갖는다. 브라우저 기반 에이전트를 판매하는 벤더는 자신들이 어떤 LLM을 쓰는지뿐 아니라, 웹페이지를 어떻게 검사하고 system prompt를 어떻게 격리하며, 도구를 어떻게 제한하고, 위험한 행동을 어떻게 차단하는지 설명해야 한다. Claude Opus 5, Sonnet 5, 혹은 OpenAI의 경쟁 모델을 비교하는 구매자는 벤치마크 그래프뿐 아니라 제품 수준의 보안 답변이 필요하다.

또한 경쟁 구도를 바꾼다. Anthropic이 Claude Opus 5와 Auto Mode가 더 넓은 독립 테스트에서도 강한 복원력을 보인다는 것을 입증할 수 있다면, 이는 신뢰성과 격리가 화려한 데모보다 중요한 민감한 엔터프라이즈 AI 배포에서 Anthropic의 메시지를 강화할 수 있다. AI 에이전트 시장은 “작업을 수행할 수 있는가?”에서 “지저분하고 적대적인 입력에서도 안전하게 작업을 수행할 수 있는가?”로 이동하고 있다.

앞으로 지켜볼 것

다음으로 주목할 신호는 독립 테스트다. Gray Swan 외의 보안 회사들이 실제 브라우저 환경에서 Claude Opus 5, Auto Mode, Claude Cowork를 재현 가능한 방식으로 평가한다면, 이는 단일 벤더의 system card보다 더 많은 것을 말해줄 것이다.

두 번째 신호는 제품 범위다. Anthropic의 보고 결과는 브라우저 에이전트 시나리오에 관한 것이다. 구매자들은 비슷한 방어가 문서 수집, 이메일, API 연결 도구, 멀티에이전트 워크플로로도 확장되는지 지켜봐야 한다. 그런 곳에서는 프롬프트 인젝션이 다른 경로로 들어올 수 있다.

세 번째로, 경쟁사들이 직접 대응하는지도 추적할 가치가 있다. OpenAI는 프롬프트 인젝션 문제의 심각성을 공개적으로 인정했고, 다른 에이전트 플랫폼들도 같은 압박을 받고 있다. Anthropic의 접근이 지속 가능하다고 증명되면, 다층 방어는 AI 에이전트의 차별점이 아니라 기본 기대치가 될 수 있다.

마지막으로 가장 중요한 것은 Anthropic이 테스트 설계에 대해 더 많은 세부사항을 공개하는지다. 공격 분류, 실패 정의, 필터의 오탐, Auto Mode의 사용성 트레이드오프 등이 그것이다. 공격은 막지만 자동화를 느리게 하거나 과도하게 제한하는 보안 통제는 여전히 상업적으로 배포하기 어렵다.

Creati.ai 관점

이 이야기에서 가장 흥미로운 점은 헤드라인 수치가 아니라 그 뒤의 아키텍처다. Anthropic은 AI 에이전트의 프롬프트 인젝션 방어가 순수 모델 수준에서는 미해결이더라도 제품 계층의 규율로 달성 가능하다는 것을 보여주고 있는 듯하다. 이는 시장에 더 현실적인 경로다. 기업은 브라우저 자동화를 위해 벌거벗은 모델을 사는 것이 아니라 시스템을 산다.

그럼에도 아직 이 문제는 해결되지 않았다. 여기서 이용 가능한 증거는 제한적이며, 가장 강한 결과는 Anthropic 자신이 제시한 것이다. 그러나 AI 에이전트와 엔터프라이즈 AI 플랫폼을 만드는 개발자들에게 교훈은 즉각적이다. 프롬프트 인젝션을 추상적 연구 문제로만 취급하지 말고, 다층 제어, 모니터링되는 행동, 명시적 신뢰 경계를 갖춘 설계를 시작해야 한다. Claude Opus 5와 Auto Mode가 외부 검증을 견딘다면, 안전한 브라우저 자동화가 실험적으로 위험한 것에서 운영상 그럴듯한 것으로 바뀌는 분기점이 될 수 있다.