breakinglog
앤트로픽이 2026년 10월 8일 오픈소스 소프트웨어의 보안 취약점을 AI로 찾아주는 OSS Scanner를 공개했습니다. 선정된 오픈소스 프로젝트의 핵심 유지보수 담당자라면 비용 없이 정기적인 검사를 받고, Claude Mythos를 포함한 최신 모델이 작성한 취약점 보고서를 이메일로 받을 수 있습니다.
다만 모든 개발자가 즉시 쓸 수 있는 무료 코드 검사 서비스는 아닙니다. 보안상 영향이 큰 오픈소스 프로젝트를 대상으로 신청과 자격 확인을 거치며, 전달되는 결과는 사람의 사전 검토를 거치지 않는다는 점이 가장 큰 이용 조건입니다.
무료 제공 대상은 중요한 오픈소스 프로젝트의 관리 담당자
앤트로픽은 구글의 OSS-Fuzz와 비슷한 기준으로 신청 프로젝트를 선정합니다. 인터넷에서 공격에 노출될 가능성이 크거나, 다수의 사용자와 다른 소프트웨어가 의존하는 프로젝트처럼 인프라와 이용자 보안에 중요한 영향을 미치는지를 살핍니다.
등록 신청자는 프로젝트를 관리하는 핵심 유지보수 담당자(core maintainer)여야 합니다. 앤트로픽은 신청자의 역할을 확인한 후 개별적으로 수락 여부를 결정합니다. 개인이 자신의 비공개 저장소를 등록해 곧바로 무료 보안 감사를 받는 서비스와는 다릅니다.
이용 요금은 선정된 프로젝트에 대해 무료입니다. 검사에 드는 비용을 앤트로픽이 부담하며, 사용자는 검사를 받을 때마다 별도의 Claude API 사용료를 지불하지 않습니다. 첫 검사 이후에도 정기적으로 다시 분석하지만, 검사 간격을 일률적인 며칠 또는 몇 주로 보장하지는 않았습니다.
‘빨리 받는 보고서’인 대신 사람이 먼저 검증하지 않습니다
OSS Scanner는 Claude Mythos를 포함한 앤트로픽의 강력한 모델로 코드를 분석해 보안 문제를 찾습니다. 결과에는 재현 방법, 문제가 발생하는 이유, 가능할 경우 결함을 처음 도입한 변경 지점과 수정안이 포함됩니다.
기존에 앤트로픽이 운영해 온 취약점 공개 절차는 보안 연구자의 검토를 거쳐 개발자에게 전달하는 방식이었습니다. 새 서비스는 검토 단계에서 대기하지 않고 AI가 생성한 보고서를 유지보수 담당자에게 직접 전달하도록 설계됐습니다. 그만큼 발견 내용을 빨리 받을 수 있지만, 실제 취약점이 아니거나 위험도가 잘못 평가된 보고서도 섞일 수 있습니다.
앤트로픽이 공개한 초기 평가에서는 48개 프로젝트의 심각도가 높거나 매우 높은 것으로 분류된 결과 97건을 전문가가 검토했습니다. 이 중 85건(약 88%)이 기존 취약점 공개 기준을 충족했고, 나머지 12건 중 11건은 실제 문제였지만 다른 보고서와 중복되거나 이미 알려진 문제였으며 1건은 오탐이었습니다. 이는 선별된 초기 표본의 자체 평가로, 앞으로 모든 검사에서 88% 정확도가 보장된다는 의미는 아닙니다.
무검증 AI 보고서에는 일반적으로 적용되는 90일 공개 기한도 자동으로 부과하지 않습니다. 나중에 사람이 문제를 검증해 기존 공식 절차로 옮기면 해당 절차의 공개 일정이 별도로 적용될 수 있습니다. 소규모 팀이 검증할 수 없는 분량의 경고를 강제로 처리해야 하는 상황을 줄이려는 취지입니다.
신청 방법: GitHub 저장소에 프로젝트 설정을 제출
신청하려면 앤트로픽의 OSS Scanner GitHub 저장소에 풀 리퀘스트(PR)를 열어 projects/<프로젝트명>/ 디렉터리를 추가해야 합니다. 필수 준비물은 검사할 저장소 주소와 보고서를 받을 연락처를 적은 project.yaml, 그리고 분석 환경을 만드는 Dockerfile입니다. Dockerfile은 신청 저장소 안에 두거나 원래 프로젝트 저장소에 둘 수 있습니다. 신청 PR이 접수됐다고 곧바로 검사가 시작되는 것은 아니며, 프로젝트가 선정돼야 보고서를 받을 수 있습니다.
연락처 주소는 공개 GitHub 설정 파일에 들어가므로 개인 메일보다 보안 문의용 주소를 쓰는 편이 좋습니다. threat_model.md에 프로젝트의 주요 공격 경로와 위험도 판단 기준을 적으면 불필요한 결과를 줄이는 데 도움이 될 수 있습니다. 앤트로픽은 프로젝트를 빌드할 때 필요한 파일을 확보한 뒤, 실제 AI 보안 분석을 인터넷이 차단된 격리 환경에서 수행한다고 설명합니다. 다만 초기 Dockerfile 빌드 단계에서는 종속성 다운로드를 위해 네트워크 접근이 허용됩니다.
프로젝트 관리자는 disabled: true로 보고서 수신을 잠시 중단하거나 등록 내용을 삭제해 탈퇴할 수 있습니다. 가입 전에 공식 GitHub README에 연결된 이용약관과 자격 요건을 확인해야 합니다.
GitHub 비밀정보 탐지와 다른 서비스입니다
최근 GitHub의 AI 비밀정보 탐지 강화는 코드에 포함된 비밀번호나 API 키 같은 민감정보 유출을 찾아내는 기능에 초점을 맞춥니다. 반면 OSS Scanner는 코드의 동작을 분석해 취약점을 탐색하고 재현과 수정 자료를 제공하는 프로그램입니다. 두 기능을 같은 서비스나 대체제로 볼 수는 없습니다.
기업이 자사 비공개 코드를 검사하는 용도로 안내된 제품은 별도의 Claude Security이며, 이번 OSS Scanner는 중요한 공개 소프트웨어를 유지보수하는 프로젝트를 위한 무료 프로그램입니다. 오픈소스 유지보수 담당자라면 공식 출시 발표와 신청 저장소의 현재 조건을 확인할 수 있습니다.
