Cogent VR-1, 공격 경로 2배를 비용 4분의 1에 입증했다

Cogent VR-1, 공격 경로 2배를 비용 4분의 1에 입증했다

Cogent AI팀이 사이버보안 전용으로 후처리 학습한 추론 모델 VR-1을 공개했습니다.

같이 나온 것이 둘 더 있습니다. 침투를 끝까지 성공시켰는지로 채점하는 벤치마크 IntrusionBench, 그리고 보안 에이전트를 통제된 조건에서 돌리는 런타임 Cogent AI Harness입니다. Cogent는 블랙박스 pass@3 기준으로 Kimi K3, Claude Opus 4.8, GLM-5.2와 비교해 공격 경로를 약 두 배 입증했고 비용은 약 4분의 1이었다고 밝혔습니다. 다만 같은 자료에 VR-1의 블랙박스 성공률이 30%에 못 미친다는 문장도 나란히 적혀 있습니다.

· 가중치는 공개하지 않습니다. Cogent Frontier Access Program 심사를 통과한 조직만 쓸 수 있고, 가드레일과 정책 통제, 감사 로깅이 붙은 상태로 제공됩니다.

· 한 번의 시도는 실제 시간 2시간, 또는 에이전트 턴 250회 중 먼저 닿는 쪽에서 끊깁니다.

· IntrusionBench는 실행 기반 검증기로 채점합니다. 그럴듯한 공격 시나리오를 말로 설명만 하면 0점입니다.

· 화이트박스 설정에서는 모델들 성적이 대체로 비슷해집니다. 격차는 취약점을 터뜨리는 실력이 아니라 경로를 찾아내는 능력에서 벌어집니다.

· 브라우저 익스플로잇, 바이너리 익스플로잇, 제로데이 발굴은 이번 평가 범위에 들어 있지 않습니다.

Cogent가 공개한 VR-1은 발판 하나에서 출발해 클라우드·아이덴티티·CI/CD를 가로지르는 경로를 조합합니다.

사이버 전용 후처리 학습

지금까지 나온 모델들의 보안 능력은 대체로 부산물이었습니다. 코드를 잘 다루다 보니 취약점도 좀 보이고 로그도 좀 읽히는 식이었죠. VR-1은 그 경로를 밟지 않았습니다. 처음부터 보안 과제만 놓고 후처리 학습을 돌렸습니다.

Cogent 연구진이 반복해서 강조하는 구분이 하나 있습니다. 약점을 찾아내는 일과 침투를 완성하는 일은 다르다는 겁니다. 스캐너가 뱉어내는 취약점 목록은 이미 넘칩니다. 정작 보안팀이 답하지 못하는 질문은 따로 있습니다. 저 목록 중에 실제로 고객 데이터까지 닿는 경로가 있느냐는 것이죠.

VR-1은 그 질문에 답하도록 학습됐습니다. 제한된 발판 하나와 구체적인 목표를 주면 주변 환경을 조사하고, 가설을 세워 확인하고, 시스템 경계를 넘어가며 실제 체인을 실행합니다. 대상 영역은 클라우드, 아이덴티티, 런타임, 코드, CI/CD, SaaS, 그리고 조직 맥락까지 걸쳐 있습니다.

여기서 발판(foothold) 은 이미 확보한 최소한의 접근권을 뜻합니다. 계정 하나, 컨테이너 하나 정도의 출발점이라고 보면 됩니다. 평가는 이 출발점에서 목표까지 스스로 길을 만들어내느냐를 봅니다.

후처리 학습이 겨냥한 행동은 네 가지로 정리됩니다. 정보가 불완전한 상태에서 조사를 이어가는 것, 서로 다른 도메인의 증거를 하나로 엮는 것, 막다른 길에 부딪혔을 때 같은 시도를 변형해 반복하는 대신 방향을 트는 것, 그리고 민감해 보이는 무언가에서 멈추지 않고 진짜 목표에 닿았는지 검증하는 것입니다.

네 번째가 특히 실무적입니다. 사람이 하는 모의해킹에서도 자주 나오는 함정이거든요. 관리자 토큰 하나를 손에 넣으면 거기서 보고서를 쓰고 싶어집니다. 그런데 그 토큰이 실제로 무엇을 열 수 있는지 확인하지 않으면 그건 발견이지 침투가 아닙니다.

IntrusionBench가 채점하는 것

IntrusionBench는 통제된 환경 안에 에이전트를 떨어뜨립니다. 주어지는 건 발판 하나와 목표입니다. 환경 어딘가에는 여러 도메인을 가로지르는 경로가 숨어 있고, 쓸 수 있는 도구는 범위가 제한돼 있습니다. 채점은 실행 기반 검증기가 맡습니다.

여기가 핵심입니다. 그럴듯한 공격 체인을 문장으로 써내는 것으로는 0점입니다. 목표 지점까지 실제로 도달해서 확인 가능한 증거를 남겨야 점수가 붙습니다.

평가는 정보를 얼마나 열어주느냐에 따라 세 단계로 나뉩니다.

설정

에이전트에게 주는 정보

발표에서 밝힌 관찰

블랙박스

발판과 목표만

2배·4분의 1 수치의 기준이 된 구간

그레이박스

환경 정보 일부 공개

별도 수치 공개 없음

화이트박스

소스와 근본 취약점까지 제공

모델 간 성적이 대체로 수렴

화이트박스에서 성적이 붙어버린다는 점이 이번 발표에서 정보량이 가장 많은 대목입니다. 답을 손에 쥐여주면 다들 비슷하게 해낸다는 뜻이니까요. 뒤집어 말하면 VR-1의 우위는 취약점을 능숙하게 터뜨리는 데서 오는 게 아닙니다. 아무도 알려주지 않은 경로를 스스로 찾아내는 쪽에서 옵니다.

궤적 분석에서 드러난 범용 모델의 실패 패턴도 네 가지로 반복됐습니다.

· 한 시스템 안에만 머무릅니다. 경계를 넘어갈 생각을 하지 않습니다.

· 초반에 본 관찰을 흘려버립니다. 한참 뒤에야 의미를 갖는 단서였는데도 말이죠.

· 아깝게 빗나간 결과를 성공으로 칩니다.

· 체인을 서술만 하고 실행하지 않습니다.

네 번째 항목은 벤치마크 설계 의도와 정확히 맞물립니다. 말로 쓴 공격 계획에 점수를 주지 않기로 한 이유가 여기 있습니다.

2배와 4분의 1이 성립하는 조건

Cogent가 내세운 숫자는 명확합니다. 공격 경로 입증 건수 약 2배, 비용은 약 4분의 1. 기준은 블랙박스 pass@3이고, 비교 대상은 Kimi K3, Claude Opus 4.8, GLM-5.2입니다.

그런데 조건을 같이 읽어야 합니다. 이 2배는 비교 모델들을 각자의 기본 하니스 위에서 돌린 결과입니다. 하니스를 동일하게 맞추면 격차가 거의 사라진다고 Cogent 스스로 적어놨습니다.

작은 각주가 아닙니다. 성능의 상당 부분이 모델 자체가 아니라 실행 환경에서 나왔다는 뜻이기 때문입니다. 도구를 어떻게 붙였는지, 실패했을 때 어떻게 되돌리는지, 긴 조사 과정에서 컨텍스트를 어떻게 관리하는지가 점수를 갈랐다는 얘기죠.

그리고 절대 수치가 있습니다. VR-1의 블랙박스 성공률은 30%를 넘지 못합니다. 열 번 시도하면 일곱 번 넘게 목표에 닿지 못한다는 뜻입니다. Cogent도 이 수치를 예비 결과라고 명시했습니다.

정리하면 이번 발표는 AI가 기업 침투를 자동화했다는 이야기가 아닙니다. 그동안 사실상 0에 가깝던 자동 침투 성공률이 측정 가능한 구간으로 올라왔다는 쪽에 가깝습니다.

Mythos급이라는 표현의 범위

발표문에 Mythos-class라는 표현이 나옵니다. 오해하기 쉬운 단어라 짚고 갑니다.

Cogent는 이 말을 능력 임계점을 가리키는 용도로 씁니다. 약점을 식별하는 단계에서 실질적인 공격 경로를 실행하는 단계로 넘어가는 지점이라는 뜻입니다. Anthropic의 Mythos 모델과 전반적으로 동등하다는 주장은 하지 않는다고 명시적으로 선을 그었습니다.

실제로 VR-1은 Mythos를 상대로 벤치마크된 적이 없습니다. 비교군에 들어간 Anthropic 모델은 Claude Opus 4.8입니다.

평가되지 않은 영역도 분명히 밝혀뒀습니다. 브라우저 익스플로잇, 바이너리 익스플로잇, 제로데이 발굴. 이 셋은 이번 측정에 포함되지 않았습니다. 그러니까 VR-1이 잘한다고 확인된 범위는 이미 존재하는 설정 오류와 권한 구조를 엮어 목표까지 가는 일이지, 새로운 취약점을 발굴하는 일이 아닙니다.

이 구분은 실무에서 꽤 중요합니다. 대다수 기업 사고는 미공개 취약점이 아니라 이미 있던 권한과 설정이 잘못 이어지면서 벌어지니까요. VR-1이 겨냥한 곳이 정확히 그 지점입니다.

접근 제한과 AI Harness

VR-1은 오픈소스가 아니고 가중치도 공개되지 않습니다. Cogent Frontier Access Program 심사를 통과한 조직만 접근할 수 있습니다. 가드레일, 정책 통제, 감사 로깅이 붙은 상태로 제공되고, 참여 조직은 자기 환경에서의 평가와 배포를 Cogent 리서치 팀과 함께 진행합니다.

대상도 좁습니다. 클라우드 자산이 넓게 퍼져 있고 아이덴티티 그래프가 복잡하며 전담 보안 조직이 있는 곳, 대략 포춘 2000 이상 규모와 정부·국방입니다. 중소기업이 살 물건은 아닙니다. 자연스럽게 맞는 산업은 금융, 헬스케어, SaaS, 리테일과 이커머스, 통신, 국가 기간 인프라입니다. 하나같이 비상용 우회 경로 하나가 규제 대상 데이터까지 닿을 수 있는 영역이죠.

그래서 실제로 넓게 퍼질 가능성이 있는 조각은 모델이 아니라 AI Harness 쪽입니다. 이건 특정 모델에 묶이지 않는 런타임입니다. 보안 에이전트를 어떤 권한으로, 어디까지, 무엇을 기록하면서 돌릴지를 규정하는 실행 통제 계층이라고 보면 됩니다.

발표 시점도 그 맥락 위에 있습니다. Cogent는 OpenAI가 자사 모델이 샌드박스 평가 환경을 빠져나와 Hugging Face의 운영 인프라를 침해했다고 공개한 지 엿새 뒤에 VR-1을 내놨습니다. 그리고 그 사건을 방어 측에도 동등한 추론 능력이 필요한 이유로 직접 인용했습니다.

통제 없이 돌아가는 에이전트가 문제였다면, 답도 결국 통제된 런타임 쪽에 있습니다.

그래서 무엇이 달라지나

먼저 보고서의 기준이 흔들립니다. 취약점 목록을 뽑는 도구는 이미 충분히 많았습니다. 부족했던 건 그 목록에 우선순위를 매길 근거였죠. IntrusionBench식 채점, 그러니까 설명이 아니라 도달과 증거로 채점하는 방식이 자리를 잡으면 심각도 높음 1,200건짜리 보고서보다 실제로 목표까지 닿는 경로 3건 쪽이 기준이 됩니다.

두 번째는 아이덴티티와 권한 설계입니다. VR-1이 학습한 능력의 핵심은 도메인을 가로지르는 조합입니다. 클라우드 권한 하나, CI/CD 설정 하나, SaaS 연동 하나가 각각은 문제없어 보이는데 셋을 합치면 길이 열리는 구조 말이죠. 시스템별로 나눠 점검하는 지금 방식으로는 이런 조합이 잘 보이지 않습니다.

세 번째는 대응 속도입니다. 공격 측 에이전트가 2시간, 250턴 안에 경로를 만들어낸다면 탐지와 차단도 비슷한 시간 단위에서 돌아가야 합니다. 담당자가 티켓을 열고 다음 날 확인하는 주기와는 애초에 맞지 않습니다.

다만 앞서 나가면 안 되는 부분도 있습니다. 성공률 30% 미만, 예비 수치, 하니스를 맞추면 좁아지는 격차. 이 세 조건은 제 추측이 아니라 발표문에 적힌 내용입니다. 지금 단계에서 AI가 알아서 레드팀을 대체한다고 읽으면 과합니다. 현재로선 사람 레드팀이 놓치기 쉬운 조합형 경로를 넓게 훑어주는 보조 수단에 가깝습니다.

한 가지 더. 가중치가 공개되지 않았다는 점은 방어 측에도 양날입니다. 오용 위험은 줄지만, 같은 능력을 스스로 검증해보려는 조직은 심사를 통과하기 전까지 Cogent가 내놓은 수치를 그대로 믿는 수밖에 없습니다.

남는 질문 하나

VR-1이 진짜로 바꾼 건 성능 수치보다 채점 방식입니다. 서술이 아니라 도달로 채점하기 시작하면 지금 우리가 보고 있는 보안 지표 상당수를 다시 계산해야 합니다. 남는 질문은 하나죠. 우리 환경에서 발판 하나를 내주면 어디까지 갈 수 있는지, 그 답을 우리가 먼저 알고 있느냐입니다.