앤스로픽, 클로드로 오픈소스 25개 분석해 보안 문제 500건 가까이 발견

앤스로픽이 2026년 10월 22일 클로드를 활용해 C, C++, Java, PHP, Python으로 작성된 주요 오픈소스 프로젝트 25개를 분석한 연구 결과를 공개했다. 분석 대상 코드는 500만 줄이 넘었으며, 이 과정에서 보안 문제가 500건 가까이 발견됐다.

클로드는 1만 7,000개가 넘는 설정 항목을 정리했고, 이 가운데 3,842개가 보안과 관련된 것으로 분류됐다. 인증된 사용자를 대상으로 설계된 11개 프로젝트 모두에서 인증 전에는 도달해서는 안 되는 코드에 접근할 수 있는 경로가 확인됐다.

연구에서는 기본 설정에서 인증 전 공격 표면 93곳, 인증 전에 실행되는 코드 37건, 인증 전 통제를 약화시키는 설정 조합 61건이 나타났다. 동작을 설명하는 문서 없이 허용된 설정 조합도 162건 있었다. 일부 설정 결함은 20년 넘게 탐지되지 않았다.

사례로 다뤄진 OpenSSH의 데몬은 서버 설정이 허용하는지 확인하기 전에 실험적인 포스트양자 서명 알고리즘 코드 약 4,500줄에 도달할 수 있었다. OpenSSH는 이후 10.6 버전에서 수정을 내놓았고, 이에 따라 전체 코드의 약 20%가 인증되지 않은 클라이언트에서 접근할 수 없게 됐다.

앤스로픽은 이번 기법들을 재사용 가능한 클로드 스킬로 묶어 오픈소스 보안 검사 서비스인 OSS-Scanner에 통합할 계획이다. 해당 스킬은 동적 프로그램 추적을 통해 결과를 검증하고 제안된 변경이 기존 동작을 깨뜨리지 않는지 시험하며, 동작에 영향을 줄 수 있는 변경은 사람이 검토하도록 남긴다.