앤트로픽, 오픈소스 무료 취약점 점검 OSS Scanner 공개

앤트로픽이 오픈소스 프로젝트의 취약점을 모델이 점검해 무료로 알려 주는 서비스를 내놨다. 참여를 신청한 프로젝트는 가장 강한 모델이 정기적으로 코드를 점검한 보고서를 받는다.

앤트로픽은 10월 8일 이 서비스 OSS Scanner를 공개했다. 점검에는 Claude Mythos를 포함한 최상위 모델을 쓰고, 보고서는 사람의 검토나 분류 없이 모델이 만든 그대로 전달된다.

이 방식은 오류 가능성을 감수한다. 점검이 빠르고 잦아지는 대신 틀렸거나 유효하지 않은 보고가 있을 수 있다고 앤트로픽은 밝혔다.

사람이 검토하는 기존 방식이 병목이 됐다. 앤트로픽은 최근 6개월간 주요 소프트웨어를 점검해 후보 취약점 2만9,000여 건을 찾았지만, 사람이 검토하고 분류한 것은 약 6,000건이다. 이는 후보 전체의 5분의 1 정도다.

일부 유지관리자는 검증 전 보고서를 모두 보내 달라고 요청했다. 앤트로픽은 이런 보고서 약 5,000건을 그대로 전달했다.

초기 검증 결과도 공개했다. 침투 테스트 전문가가 48개 프로젝트에서 나온 critical·high 등급 취약점 97건을 확인했더니 85건(88%)이 앤트로픽의 공개 절차 기준을 충족했다. 나머지 12건 중 11건은 이미 알려졌거나 다른 발견과 겹쳤고, 오탐은 1건이었다.

다만 일부 유지관리자는 심각도가 부풀려졌거나 스캐너가 프로젝트의 threat model(위협 모델)을 오해했다고 말했다. wolfSSL의 Todd Ouska는 받은 보고서 74건 가운데 두 건을 뺀 전부가 유효했고 다섯 건이 CVE로 등록됐다며 "더 받고 싶다"고 밝혔다.

신청은 핵심 유지관리자가 GitHub 저장소 anthropics/oss-scanner에 설정 파일을 담은 PR을 보내는 방식이다. 앤트로픽은 OSS-Fuzz와 비슷하게 인프라와 사용자 보안에 큰 영향을 주는 프로젝트를 하나씩 심사하고, 검증하지 않은 보고서에는 90일 공개 유예 기간을 두지 않는다.

이 서비스는 보고서의 유효성을 유지관리자가 직접 확인해야 한다는 점이 사람이 먼저 검토하는 기존 공개 절차와의 가장 큰 차이다.