무료로 취약점 찾는 클로드…‘OSS Scanner’ 보고서는 사람이 검토하지 않는다

오픈소스 관리자에게 AI가 찾은 취약점과 수정 후보를 무료로 보내 주되, 사람이 먼저 확인해 주지는 않는다. Anthropic이 10월 8일 공개한 ‘OSS Scanner’의 핵심 조건이다. 신청해 참여한 프로젝트를 강력한 모델로 주기적으로 검사하는 서비스이며, 보고서를 받아 직접 검증하고 처리할 여력이 있는 프로젝트를 위한 빠른 경로다.

‘무료 검사’와 ‘검증된 취약점’은 다르다

Anthropic의 연구 발표에 따르면 출력은 전적으로 모델이 만들며 사람의 사전 검토나 분류 없이 전달된다. 더 빠르고 잦은 보고를 받을 수 있지만, 문제 자체가 틀렸거나 심각도 판단이 부풀려질 수 있다. 검사를 신청했다고 모든 보고가 실제 취약점으로 확정되는 것은 아니다. 회사도 프로젝트의 위협 모델을 잘못 이해한 보고가 있었다고 설명한다.

보고서에는 문제를 재현할 수 있는 자료와 취약점 설명이 포함된다. 가능한 경우 문제가 들어온 변경을 좁힌 분석을, 수정 후보가 있을 때는 패치도 함께 제공한다. 패치가 항상 붙는다는 약속이나, 받아서 곧바로 적용하면 안전해진다는 보장은 아니다. 관리자는 재현 여부와 프로젝트에 미치는 영향을 판단해야 한다.

누구나 자기 저장소를 넣으면 바로 시작할까

신청 대상은 적합한 프로젝트의 핵심 관리자다. 인프라와 이용자 보안에 중요한 영향을 주는 오픈소스를 중심으로 프로젝트별 심사를 한다. 공식 GitHub 저장소의 표준 양식을 따라 등록 요청을 보내는 방식이며, 오픈소스라는 이유만으로 모든 프로젝트가 자동 승인되는 것은 아니다. 실제 신청 전에는 공식 안내의 프로젝트 조건과 운영 여력을 함께 확인해야 한다.

무료 구독을 주는 ‘Claude for Open Source’나 강한 보안 모델의 접근 자격을 심사하는 ‘Cyber Verification Program’과도 다른 경로다. 이번 서비스는 모델을 직접 사용할 자격을 늘리는 데 그치지 않고, 등록된 프로젝트를 검사해 보고서를 관리자로 보내는 방식이다. 기존 접근권 확대 소식을 반복한 발표로 볼 수 없는 새 차이가 여기에 있다.

검증할 사람이 부족하면 기존 경로가 남는다

Anthropic은 보고서를 대량으로 분류할 자원이 없는 프로젝트에는 기존의 사람 검증을 거친 조정된 취약점 공개 절차를 계속 제공한다고 밝혔다. 빠른 미검증 보고와 느리더라도 사람이 확인한 보고를 분리한 것이다. 무료라는 조건만 보고 신청하기보다, 새 보고를 받아 우선순위를 정하고 고칠 수 있는지가 서비스 선택의 핵심 질문이 된다.

같은 날 발표한 Cyber Mission은 전력·수도·교통 등 중요 인프라 방어와 오픈소스 보안을 함께 다루는 장기 계획이다. OSS Scanner는 그중 오픈소스 부문의 첫 서비스다. 공식 대표 이미지는 이 발표에 붙은 상징 이미지이며 실제 AI 검사 화면이 아니다. 이 기사는 서비스의 공개 조건을 확인한 것이지 특정 프로젝트의 승인이나 실제 침해 예방 효과를 검증한 결과는 아니다.