앤트로픽, 오픈소스 무료 보안 검사 ‘OSS Scanner’ 공개

앤트로픽이 8일(현지시간) 오픈소스 프로젝트를 위한 무료 취약점 검사 서비스 ‘OSS Scanner’를 공개했다. 회사 공식 연구 블로그에 따르면 참여를 신청해 승인받은 프로젝트는 Claude Mythos를 포함한 고성능 모델의 정기 보안 검사와 취약점 보고서를 받을 수 있다.

이번 서비스는 AI가 찾은 취약점을 사람이 검증하기 전 유지관리자에게 전달하는 선택형 경로다. 앤트로픽은 지난 6개월 동안 주요 소프트웨어에서 2만9000건이 넘는 취약점 후보를 발견했지만, 사람이 검토하고 분류한 것은 약 6000건이라고 밝혔다. 모든 후보가 실제 취약점으로 확정된 것은 아니다. 회사는 검토 인력의 처리 속도가 보고서 전달의 병목이 되고 있다고 설명했다.

OSS Scanner는 이 대기 시간을 줄이는 대신 검증 부담을 참여 프로젝트와 나눈다. 보고서는 모델이 작성하며 사람이 검토하거나 분류하지 않는다. 취약점 재현 자료와 설명을 제공하고, 가능한 경우 수정안과 문제가 도입된 시점 분석도 포함한다. 첫 검사 이후에는 새로 들어온 코드와 이전 검사에서 놓친 문제를 찾기 위해 반복 검사하지만, 주기는 프로젝트 수와 이용 규모 등에 따라 달라질 수 있다.

신청은 프로젝트의 핵심 유지관리자가 앤트로픽 공식 GitHub 저장소에 풀 리퀘스트(PR)를 올리는 방식이다. 검사할 저장소 주소와 담당 연락처, 의존성을 설치하고 프로젝트를 빌드할 Dockerfile 등을 준비해야 한다. 회사는 인프라와 사용자 보안에 중요한 영향을 미치는 프로젝트를 중심으로 원격 공격 노출과 의존 프로젝트 규모 등을 개별 심사하고, 신청자의 핵심 유지관리자 여부도 확인한다.

프로젝트별 위협 모델을 추가하면 검사 범위와 심각도 기준, 보고서와 수정안 형식을 안내할 수 있다. 이는 AI가 프로젝트의 보안 경계를 잘못 이해하는 일을 줄이기 위한 장치다. 공식 안내는 이미 검증된 고위험·치명적 취약점 보고서를 처리할 여력이 있고, 추가 검사를 원하는 프로젝트에 적합한 서비스라고 설명한다.

검사는 격리 환경에서 진행된다. 빌드와 의존성 준비 단계에는 네트워크를 사용하지만, 이후 보안 분석 단계에서는 인터넷 접근을 차단한다. 결과는 이메일로 전달되며, 설정에 OpenPGP 공개키를 등록하면 암호화된 보고서를 받을 수 있다. 유지관리자는 설정 변경 PR로 보고서 수신을 일시 중단하거나 참여를 철회할 수 있다.

오탐과 과도한 심각도 판정 가능성은 남아 있다. 앤트로픽은 초기 검사 결과 중 48개 프로젝트의 고위험·치명적 후보 97건을 전문가가 검토해 85건이 기존 취약점 공개 절차의 기준을 충족했다고 밝혔다. 나머지에는 이미 알려진 문제나 중복 보고가 포함됐으며, 일부 유지관리자는 심각도 부풀림과 위협 모델 오해를 지적했다. 이 수치는 초기 고위험 표본에 대한 회사 검증 결과로, 전체 보고서의 정확도를 뜻하지는 않는다.

사람이 검증하지 않은 OSS Scanner 보고서에는 90일 공개 기한을 적용하지 않는다. 다만 이후 기존 조정된 취약점 공개(CVD) 프로그램에서 사람이 해당 문제를 검증하면, 검증 사실을 통지한 때부터 별도 CVD 정책이 적용될 수 있다. 무료 검사와 빠른 보고가 제공되더라도 취약점의 유효성 판단과 패치 적용은 유지관리자의 검증을 거쳐야 한다.

출처: 앤트로픽 공식 연구 블로그, ‘Launching an opt-in vulnerability-finding service for open-source software’
https://www.anthropic.com/research/launching-opt-in-vuln-finding-service-for-open-source
앤트로픽 OSS Scanner 공식 안내
https://red.anthropic.com/oss-scanner/
앤트로픽 OSS Scanner 공식 GitHub 저장소
https://github.com/anthropics/oss-scanner