발표 내용
2026년 10월 8일, Anthropic은 OSS Scanner를 출시했습니다. Claude Mythos를 포함한 최상위 모델로 오픈소스 프로젝트의 취약점을 찾는 무료 옵트인 서비스입니다. 퍼저로 같은 일을 하는 Google의 OSS-Fuzz에서 영감을 받았다고 밝혔습니다.
숫자
Anthropic에 따르면 지난 6개월 동안 자사 모델이 주요 소프트웨어에서 2만 9천 건 이상의 취약점 후보를 찾았지만, 사람이 검토한 것은 약 6천 건에 그칩니다. 검토 전이라도 모두 받기를 원한 메인테이너가 많아 그런 보고서를 약 5천 건 보냈습니다.
학술 벤치마크 CyberGym에서는 작년 초 20% 미만이던 발견률이 올해 85%를 넘었다고 합니다.
검증을 위해 침투 테스터가 48개 프로젝트의 치명·높음 등급 97건을 확인한 결과 85건(88%)이 조정된 공개(CVD) 기준을 충족했고, 11건은 실제이지만 중복이었으며, 오탐은 1건뿐이었습니다.
주의: 사람 검토 없음
OSS Scanner 보고서는 전적으로 모델이 생성하며 사람의 분류 작업이 없습니다. 더 빠르고 잦은 스캔이 가능하지만, 일부는 틀리거나 심각도가 과장될 수 있다고 Anthropic 스스로 경고합니다. 각 보고서에는 재현 코드, 설명, 버그 유입 시점(가능한 경우), 수정 패치 후보가 포함됩니다.
사람이 검증하는 기존 CVD 절차도 계속 운영합니다.
메인테이너 반응
PostgreSQL, OpenSSL, wolfSSL(74건 중 무효 2건, 5건이 CVE로 등록), HotCRP, curl의 평가가 실렸습니다. curl의 Daniel Stenberg는 "최근 몇 년 사이 최악의 curl 취약점 중 하나"를 찾았다고 말했습니다.
참여 방법(GitHub 저장소)
github.com/anthropics/oss-scanner(Apache-2.0)에 템플릿(project.yaml, 필요 시 빌드용 Dockerfile)에 맞춰 풀 리퀘스트를 보내 등록합니다. 핵심 메인테이너만 등록할 수 있으며, OSS-Fuzz와 비슷하게 인프라와 사용자 보안에 대한 중대한 영향을 기준으로 개별 판단합니다.
같은 날: 핵심 인프라 방어 프로그램
SecurityWeek에 따르면 Anthropic은 같은 날 Accenture, CrowdStrike, Dragos, Hitachi, Palo Alto Networks, Rockwell 등 산업제어(OT) 보안 파트너 11곳과 핵심 인프라 방어 프로그램도 발표했습니다.
기업에 주는 의미
- 인기 라이브러리 패치가 더 빠르고 많이 나옵니다. 의존성 업데이트를 자동화(Dependabot, Renovate)하고 보안 권고를 추적하세요.
- 공격자도 같은 도구를 씁니다. Anthropic 말처럼 이제 익스플로잇은 몇 분 만에 만들어집니다.
- 중요한 오픈소스를 유지한다면 등록을 검토하되, 검토되지 않은 보고서를 분류할 시간을 확보하세요.
출처
- Anthropic(2026.10.8): https://www.anthropic.com/research/launching-opt-in-vuln-finding-service-for-open-source
- OSS Scanner: https://red.anthropic.com/oss-scanner/
- 저장소: https://github.com/anthropics/oss-scanner
- SecurityWeek: https://www.securityweek.com/anthropic-fast-tracks-ai-bug-reports-to-oss-maintainers-taps-11-firms-for-ot-security/
의존성과 패치 관리를 정비하고 싶으신가요? KGA IT가 무료 상담을 제공합니다: kga-it.com