Anthropic, 오픈소스용 무료 취약점 탐지 ‘OSS Scanner’ 공개 — 미검증 결과를 직접 받는 선택형 프로그램

Anthropic은 10월 8일 자사의 강력한 모델로 오픈소스 프로젝트를 정기 검사하는 선택형 무료 서비스 OSS Scanner를 발표했다.

지난 6개월 동안 2만9천 건 이상의 잠재적 취약점을 찾았지만 사람의 검증·분류를 거친 것은 약 6천 건에 그쳤다고 설명했다. 검증되지 않은 보고서도 원하는 관리자에게 빠르게 제공하는 방식으로 병목을 줄이려 한다.

프로그램에 참여한 프로젝트가 받는 결과는 모델이 생성한 원자료이며 사전 인간 검토가 없으므로 오탐 가능성을 반드시 고려해야 한다.

Anthropic은 초기 버전에서 심각도가 높은 문제 97건을 48개 프로젝트에서 외부 전문가에게 검토받았고 이 중 85건(약 88%)이 조정된 취약점 공개 절차의 기준을 충족했다고 밝혔다.

나머지 12건 중 11건은 실제 문제이지만 중복된 발견이었고 1건은 오탐이었다. 이 비율은 선별된 심각한 사례의 검증 결과이지 서비스가 앞으로 발견할 모든 문제의 평균 정확도는 아니다.

프로젝트에는 재현 방법·원인 설명·가능한 수정안이 제공된다. Anthropic

AI가 대규모 코드베이스에서 취약점을 대량으로 탐색할 수 있어도 유지관리자는 실제 악용 가능성, 기존 보고와의 중복, 수정안의 부작용을 검토해야 한다.

보고서 생산 속도가 검증 역량을 넘어서면 보안 도구 자체가 새로운 업무 병목을 만들 수 있다.

고급 취약점 탐지가 대형 기업만의 유료 서비스가 아니라 주요 오픈소스 인프라의 정기적인 보안 관리 방식으로 확산될 수 있다.

그러나 사람의 검증이 없는 대량 결과는 프로젝트 관리자에게 부담을 줄 수 있으며 발견 건수 자체가 실제 위험 감소를 뜻하지 않는다.

프로젝트 유지관리자는 참여 자격과 취약점 비공개 처리 절차를 검토한 뒤 도입해야 한다.

자동 생성 보고서는 재현 가능한 테스트, 영향 범위, 중복 여부, 실제 패치와 회귀 테스트 순서로 확인하는 것이 좋다. 모델의 취약점 심각도 판정을 최종 운영 기준으로 바로 사용하지 않아야 한다.

앱 · 알림 설정