앤스로픽, 무료 오픈소스 취약점 스캐너 출시

ai.euno.news 자동 뉴스 요약

앤스로픽(Anthropic)이 핵심 오픈소스 프로젝트의 취약점을 찾아주는 무료 옵트인 서비스 ‘OSS 스캐너(OSS Scanner)’를 출시했다. 참여를 신청한 유지관리자는 클로드 미토스(Claude Mythos)를 비롯한 앤스로픽의 고성능 모델이 작성한 보안 보고서를 정기적으로 받는다. 다만 보고서는 사람의 검토를 거치지 않고 전달되며, 취약점의 진위와 제안된 수정안을 받아들일지는 유지관리자가 판단한다.¹

앤스로픽 프런티어 레드팀에 따르면 모델은 6개월 동안 후보 취약점 2만9,000건 이상을 찾았지만, 연구진이 직접 분류하고 검토한 것은 약 6,000건이었다. 사람의 검증 속도가 탐지량을 따라가지 못하자, 요청한 유지관리자에게 미검증 보고서와 수정안 약 5,000건을 먼저 제공했고 이를 정식 서비스로 확대한 것이다. 보고서에는 의심되는 취약점의 설명과 독립적으로 실행할 수 있는 재현 절차가 담긴다. 가능한 경우 이분 탐색으로 버그를 처음 만든 변경 사항을 찾고 후보 패치도 제시한다.¹

초기 시험 결과는 가능성과 한계를 함께 보여준다. 침투 테스트 전문가들이 48개 프로젝트에서 선별한 중요·고위험 발견 97건을 평가한 결과, 85건은 조정된 취약점 공개 기준을 충족했다. 나머지 가운데 11건은 실제 문제였지만 이미 알려졌거나 다른 결과와 중복됐고, 1건은 잘못된 판단이었다. 다만 이는 선별 표본의 결과일 뿐, 서비스가 내놓을 모든 보고서의 정확도를 뜻하지는 않는다. 앤스로픽도 일부 보고서가 심각도를 부풀리거나 프로젝트의 위협 모델을 잘못 이해했다고 인정했다.¹

실제 프로젝트의 반응은 대체로 긍정적이다. wolfSSL은 받은 보고서 74건 중 2건을 제외하면 모두 유효했고, 5건은 CVE로 등록됐다고 밝혔다. PostgreSQL 유지관리자는 여러 수정안을 거의 그대로 쓸 수 있었다고 평가했다. curl에서는 OSS 스캐너가 찾은 HTTP/2 업로드의 해제 후 사용 취약점이 CVE-2026-92392로 등록돼 curl 8.23.0에서 수정됐다. 특정 조건에서 원격 코드 실행이 가능했지만, curl 측은 공격 성공이 어렵고 충돌 가능성이 더 크다며 ‘치명적’이 아닌 ‘높음’으로 분류했다.¹

OSS 스캐너의 관건은 탐지 건수보다 이후 작업이다. 미검증 결과를 바로 보내는 방식은 사람의 검토 병목을 줄이지만, 검증 부담을 유지관리자에게 넘길 수 있다. 또한 패치가 있어도 사용 기업이 오래된 버전에 머물러 있다면 즉시 적용하기 어렵다. 따라서 실제 효과를 따질 때는 정확도뿐 아니라 유지관리자의 업무량, 취약점 발견부터 배포된 수정판까지 걸린 시간도 함께 봐야 한다.¹

읽기 목록은 이 브라우저에 저장됩니다.