Anthropic, 무료 AI 취약점 스캐너인 OSS Scanner 출시

Anthropic이 출시했습니다 OSS 스캐너중요 오픈소스 프로젝트를 위한 무료 옵트인 취약점 스캐너입니다. Anthropic OSS Scanner는 회사의 가장 강력한 모델을 구동하여, Claude Mythos 포함, 등록된 코드베이스를 대상으로 작동합니다.

Anthropic이 출시했습니다 OSS 스캐너중요 오픈소스 프로젝트를 위한 무료 옵트인 취약점 스캐너입니다. Anthropic OSS Scanner는 회사의 가장 강력한 모델을 구동하여, Claude Mythos 포함, 등록된 코드베이스를 대상으로 작동합니다. 보고서는 사람의 검토 없이 곧바로 유지보수자에게 전달됩니다. 이러한 절충은 더 빠른 발견을 가져오지만, 분류 작업을 프로젝트 팀에 떠넘깁니다. 10월 8일 출시 11일 후, Anthropic 77건의 치명적 등급과 803건의 높은 등급의 모델 평가 결과를 보고했습니다.

핵심 요약

규모: 10월 19일 기준, 약 650건의 신청 중 114개 프로젝트가 선정되었습니다.
실행 환경: Anthropic의 인프라를 무료로 제공합니다. 유지관리자는 Dockerfile을 제공하고, 감사는 인터넷이 없는 격리된 VM에서 실행됩니다.
성능: 감사된 중대 및 높은 등급의 발견사항 97건 중 85건(88%)이 Anthropic의 공시 기준을 충족했습니다.
최고: 감사 결과 97건 중 1건만이 오탐(false positive)이었습니다. wolfSSL은 74건의 보고 중 72건이 유효했다고 밝혔습니다.
최악: 배포 전 인간 검토 없음. 감사된 97건의 지적 사항 중 11건이 기존에 알려진 문제와 중복되었으며, 유지관리자들은 심각도가 부풀려졌다고 보고했습니다.

Anthropic OSS Scanner란 무엇인가?

OSS Scanner는 Anthropic이 가장 강력한 모델들로 오픈소스 저장소를 주기적으로 감사하는 무료 애플리케이션입니다. The 프론티어 레드팀 및 세이프가즈 리서치 팀 함께 실행하세요. 이 디자인은 다음에서 영감을 얻었습니다 Google의 OSS-Fuzz, 퍼저를 언어 모델로 대체합니다.

핵심 목표는 검토 병목 현상입니다. 6개월 동안 Anthropic의 모델들은 다음을 발견했습니다 29,000건이 넘는 후보 취약점. 인간 검토자들은 그중 약 6,000건을 분류했습니다. 거의 5,000건이 추가로 더 보고되었으며, 이는 유효성 여부와 관계없이 모든 것을 요청한 유지보수자들에게 직접 전달된 것입니다. OSS Scanner는 그러한 임시 요청을 옵트인 프로그램으로 전환합니다.

OSS Scanner는 어떻게 작동하나요?

핵심 유지보수자는 다음 저장소에 풀 리퀘스트를 열어 등록합니다. anthropics/oss-scanner. 이 PR은 다음을 추가합니다 projects/<project>/project.yaml, 기반은 프로젝트 템플릿.

필수 필드: repo, primary_contact, 그리고 Dockerfile 경로입니다.
선택적 필드: threat_model, pgp 암호화된 리포트용, auto_ccs, homepage, 그리고 disabled.

Dockerfile은 네트워크 접근이 가능한 환경에서 프로젝트를 빌드합니다. 그런 다음 VM은 감사를 위해 인터넷이 없는 네트워크로 이동합니다. 파이프라인의 에이전트들은 버그를 재검토하고, 근본 원인 분석을 수행하며, 패치를 제안합니다.

각 리포트에는 자체적으로 실행 가능한 재현 코드와 버그에 대한 설명이 포함되어 있습니다. 가능한 경우, 버그를 유발한 커밋을 특정하는 바이섹션 결과가 포함됩니다. 후보 패치가 있으면 함께 첨부됩니다.

선택적인 threat_model.md 은(는) 적대적 입력, 범위 밖 코드 및 심각도 기준을 정의합니다. 이것이 없으면 스캐너가 추측합니다.

OSS Scanner 리포트는 얼마나 정확한가?

Anthropic 팀은 자사의 침투 테스터들에게 확인을 요청했습니다 48개 프로젝트에 걸친 97개의 중요 및 높음 등급 발견 사항.

85 (88%) 이 Anthropic의 조직된 취약점 공개(CVD) 프로세스 기준을 충족했습니다.
11 는 실제였지만 알려진 문제나 다른 스캔 발견 사항과 중복되었습니다.
1 는 유효하지 않았습니다.

유지보수자 데이터도 같은 방향을 가리킵니다. wolfSSL은 74건의 리포트를 받았고, 2건을 제외한 모두가 유효했으며, 5건이 CVE가 되었습니다. curl은 다음을 패치했습니다 CVE-2026-92392, 높음(High) 심각도의 HTTP/2 업로드 사용 후 해제(use-after-free) 취약점입니다. curl 8.12.0부터 8.22.0에 영향을 미치며, 2026년 10월 14일에 릴리스된 8.23.0에서 수정되었습니다.

Anthropic은 이러한 시기를 벤치마크 발전과 연결 짓습니다. CyberGym에서 LLM은 20% 미만의 취약점 발견률에서 85%를 넘는 수준으로 향상되었습니다. 더 폭넓은 CVD 대시보드 에는 10월 2일 기준 591개 프로젝트에 걸친 6,157건의 공개된 취약점이 나열되어 있습니다. 이 중 516건은 패치되었습니다.

OSS Scanner 대 다른 오픈소스 보안 프로그램

기능	Anthropic OSS Scanner	Google OSS-Fuzz	OpenAI Codex for OSS	Google DeepMind CodeMender
접근 방식	LLM 에이전트(Claude Mythos 등)가 소스 코드를 감사	퍼징: libFuzzer, AFL++, Honggfuzz 및 sanitizer 사용	승인된 메인테이너가 운영하는 Codex Security 에이전트	Gemini Deep Think 에이전트가 버그를 발견하고 패치
메인테이너 비용	무료; Anthropic이 전체 비용 부담	무료	승인된 메인테이너에게 ChatGPT Pro, API 크레딧, 조건부 Codex Security 접근 권한 제공	공개되지 않음
등록 방법	project.yaml과 Dockerfile이 포함된 PR	google/oss-fuzz에 프로젝트 파일이 포함된 PR	신청서 제출, OpenAI가 검토	공개되지 않음 (연구 프로젝트)
메인테이너가 보기 전 사람의 검토	아니요	공개되지 않음	메인테이너가 스캔을 실행하고 검토	예, 모든 패치는 업스트림 반영 전에 검토
보고서 내용	재현 코드, 설명, 바이섹션, 후보 패치	재현 코드가 포함된 크래시 보고서	검증과 패치가 포함된 결과 보고	업스트림에 제출된 패치
공개 기한	검증되지 않은 결과에 대해서는 기한 없음	90일 또는 수정 버전 출시, 그리고 14일의 유예 기간	공개되지 않음	공개되지 않음
공개된 실적	11일간 77건의 치명적 및 803건의 높은 등급 모델 평가 발견 사항	13,000개 이상의 취약점, 50,000개의 버그, 1,000개의 프로젝트 (2025년 5월)	14건의 CVE OSS 프로젝트 내	72건의 보안 수정 사항 업스트림 반영 (2025년 10월)
정밀도 데이터	감사된 치명적/높음 97건 중 88% 유효	공개되지 않음	베타에서 오탐 50% 이상 감소	공개되지 않음