앤트로픽, 오픈소스 대상 무료 AI 보안 점검 서비스 출시

앤트로픽(Anthropic)이 오픈소스 프로젝트가 자사 최고 성능 모델로 보안 점검을 무료로 받을 수 있는 서비스인 OSS 스캐너(OSS Scanner)를 공개했다.

OSS 스캐너는 클로드 미토스(Claude Mythos)를 포함한 최고 성능 모델로 보안 감사를 수행하는 서비스다. 일반 사용자용 코드 점검·패치 적용 제품인 클로드 시큐리티(Claude Security)와 달리 OSS 스캐너는 오픈소스 프로젝트에 특화했다.

점검은 모두 AI 모델이 맡고 사람은 검토하지 않는다. 덕분에 빠르고 잦은 점검이 가능하지만 AI 특성상 보고 내용이 틀리거나 실제로는 유효하지 않을 수도 있다.

각 보고서에는 재현 절차와 취약점 설명이 담긴다. 경우에 따라 버그가 처음 들어온 시점을 찾아내는 이진 탐색 결과나 버그 수정 방법을 담은 패치안도 포함된다. 초기 검증에서는 버그 보고서 수백 건이 작성됐다. 그중에는 취약점 여러 개를 연쇄적으로 엮어 인증 없이 원격 코드를 실행하는 공격으로 이어질 수 있는 사례도 여러 건 있었다.

◇ 취약점 97건 중 88% 기준 충족=앤트로픽은 협조적 취약점 공개(CVD) 조사 결과를 검토하는 전문가에게 프로젝트 48개에서 찾아낸 취약점 97건을 점검받았다. 그 결과 85건(88%)이 CVD 절차 기준을 충족했다. 나머지 12건 가운데 11건은 실제로 존재하지만 이미 알려졌거나 다른 문제와 겹쳤고 오탐은 1건뿐이었다.

앤트로픽이 이 결과를 실제 프로젝트 관리자에게 보냈을 때 고위험이나 치명적 등급으로 분류된 결과가 무효라는 지적은 거의 없었다. 다만 일부 관리자는 위험도 평가가 부풀려졌거나 점검 도구가 프로젝트 위협 모델을 잘못 이해했을 수 있다고 지적했다. 앤트로픽은 OSS 스캐너가 완벽하다고 보장할 수는 없지만 관리자 피드백과 모델 개선을 바탕으로 시스템을 계속 다듬어 가겠다고 밝혔다.

초기 검증에는 포스트그레스큐엘(PostgreSQL)과 오픈SSL(OpenSSL) 등이 참여했다. 포스트그레스큐엘 개발자 노아 미시(Noah Misch)는 포스트그레스큐엘 결함이 이례적으로 높은 비율로 발견됐다고 말했다. 여러 보고서에는 거의 그대로 쓸 수 있는 수정안이 들어 있었다고 전했다. 빠른 전달 경로를 이용할 수 있었던 덕분에 최신 문제를 정식 버전 배포 전에 처리할 수 있었다고 덧붙였다.

OSS 스캐너는 인프라나 사용자 보안에 중대한 영향을 미치는 오픈소스 프로젝트가 대상이며 이용 여부는 개별 심사로 정한다. 대상 프로젝트 핵심 관리자는 앤트로픽이 지정한 저장소에 정해진 양식에 따라 풀 리퀘스트를 보내 이용을 신청할 수 있다. 관련 내용은 이곳에서 확인할 수 있다.