핵심 정보
Anthropic은 오픈 소스 소프트웨어의 보안 취약점을 검사하기 위해 Claude Mythos 모델을 활용하는 서비스인 OSS Scanner를 도입했습니다. 서비스 시작 11일 만에 AI는 긴급 등급 77건과 중요 등급 803건의 취약점을 식별했습니다. 이 서비스는 관리자가 제출한 프로젝트를 격리된 샌드박스 환경에서 분석하여 재현 코드와 잠재적 패치를 무료로 제공합니다.
이 도구는 사람의 검토 없이 작동하여 빠르고 빈번한 스캔이 가능합니다. Anthropic은 이러한 접근 방식이 오탐이나 프로젝트 위협 모델의 오해를 초래할 수 있음을 인정합니다. 초기 테스트에서는 보고서의 88%가 공개 표준을 충족했지만, 일부 관리자들은 AI가 지나치게 높은 심각도 등급을 부여하는 경향이 있다고 보고했습니다.
주목할 만한 발견으로는 스캐너가 식별한 curl 라이브러리의 CVE-2026-92392(use-after-free 취약점)가 있습니다. curl 개발을 이끄는 Daniel Stenberg는 이를 최근 몇 년간 프로젝트가 직면한 가장 심각한 문제 중 하나라고 설명했습니다. 이론적으로 원격 코드 실행이 가능하지만, curl 개발자들은 조건이 엄격하며 충돌이 발생할 가능성이 가장 높다고 언급했습니다.
OSS Scanner는 현재 일부 프로젝트에서 사용할 수 있으며, 약 650건의 신청 중 114건이 수락되었습니다. 기존의 조정된 공개 방식과 달리 이러한 보고서는 공개적으로 발표되지 않으며, 표준 90일 기한도 적용되지 않습니다. Anthropic은 이 서비스가 관리자들이 공격자보다 빠르게 보안 결함을 해결할 수 있도록 돕는 것을 목표로 합니다.
