앤스로픽, 오픈소스 취약점 무료 검사

ai.euno.news 자동 뉴스 요약

앤스로픽(Anthropic)이 오픈소스 프로젝트에 AI 기반 취약점 탐지를 무료로 제공하는 ‘OSS Scanner’를 출시했다. 참여를 신청한 프로젝트의 코드를 클로드 미토스(Claude Mythos)를 포함한 자사 최고 성능 모델로 정기 검사하고, 발견한 취약점 후보를 곧바로 관리자에게 전달한다. 기업용 코드 검사·패치 제품인 ‘Claude Security’와 달리 오픈소스 프로젝트만을 위한 무상 서비스다.¹

출시 배경에는 AI의 취약점 탐지 능력이 빠르게 좋아진 반면, 사람이 결과를 검증하는 속도는 따라가지 못하는 문제가 있다. 앤스로픽 발표에 따르면 학술 벤치마크 ‘CyberGym’에서 대규모 언어 모델(LLM)의 취약점 발견률은 지난해 초 20% 미만에서 올해 85% 이상으로 올랐다. 앤스로픽은 최근 6개월 동안 주요 소프트웨어 프로젝트를 검사해 취약점 후보 2만9,000건 이상을 찾았지만, 사람이 검토하고 분류한 것은 약 6,000건에 그쳤다. 앤스로픽은 보유한 결과를 모두 받겠다고 요청한 관리자들에게 검증하지 않은 보고서 약 5,000건을 직접 보냈다.¹

OSS Scanner는 이 병목을 줄이기 위해 사람의 사전 검토를 생략한다. 각 보고서에는 재현 방법과 취약점 설명, 가능한 경우 문제가 처음 들어간 시점을 찾는 이분 탐색 결과와 수정안이 담긴다. 앤스로픽은 수십 개 오픈소스 프로젝트에서 몇 주 동안 검사 절차를 시험했으며, 이 과정에서 인증 없이 원격 코드 실행으로 이어질 수 있는 취약점 조합도 여러 건 발견했다고 밝혔다.¹

정확도 시험에서는 침투 테스트 전문가들이 48개 프로젝트에서 탐지된 심각도 ‘치명적’ 또는 ‘높음’ 취약점 97건을 살폈고, 85건(88%)이 앤스로픽의 공동 취약점 공개(CVD) 기준을 충족했다. 다만 이는 회사가 공개한 시험 결과이며, 실제 서비스의 모든 보고서가 같은 정확도를 보인다는 뜻은 아니다. OSS Scanner의 결과는 전부 모델이 만들고 검증이나 분류를 거치지 않으므로 잘못됐거나 유효하지 않을 수 있다.¹

더버지는 AI가 취약점을 일찍 알릴 수 있다는 장점과 함께, 오픈소스 관리자들이 급증한 AI 생성 버그 보고서를 처리하는 데 이미 어려움을 겪고 있다고 짚었다.² 옵트인 방식은 원치 않는 보고서를 강제하지 않는다. 앤스로픽은 자체 검증이 어려운 프로젝트에는 기존 CVD 절차를 통한 사람 검토 보고도 계속 제공할 방침이다.¹

읽기 목록은 이 브라우저에 저장됩니다.