앤스로픽 OSS 스캐너, 11일 만에 심각 취약점 77건 적발

앤스로픽이 자사 AI 모델 Claude Mythos 등을 활용해 오픈소스 소프트웨어의 취약점을 점검하는 무료 서비스 OSS 스캐너가 운영 첫 11일 동안 심각도 '심각(critical)' 77건, '높음(high)' 803건을 찾아냈다고 공개했다. gamebusiness.jp가 이를 보도했다.

가장 주목받은 사례는 데이터 전송 라이브러리 curl에서 발견된 CVE-2026-92392다. HTTP/2 업로드 도중 서버가 스트림을 중단할 때 발생하는 메모리 사용 후 해제(use-after-free) 결함으로, 지난 10월 14일 공개된 curl 8.23.0에서 수정됐다. curl 리드 개발자 Daniel Stenberg는 이 결함을 오랜만에 나온 curl 최악의 취약점 중 하나로 평가했다. 2021년 이후 curl에서 '높음' 등급이 나온 것은 세 번째다.

curl 측은 특정 조건에서 원격 코드 실행이 시연됐지만 조건이 까다롭고 실제로는 대부분 크래시로 이어질 것이라고 설명했다. 이 보고서는 지난 9월 15일 정식 출시 전 버전의 스캐너에서 나왔으며, curl은 이에 대응해 릴리스 일정을 2주 앞당겼다.

앤스로픽은 스캐너 보고서가 사람의 검토를 거치지 않은 모델 원출력이며 오탐이 포함될 수 있다고 명시했다. 48개 프로젝트의 심각·높음 판정 97건을 대상으로 한 초기 검증에서 침투 테스터들은 85건(88%)이 공개 기준을 충족했다고 봤고, 1건은 오탐으로 확인됐다. 유지관리자들은 스캐너가 심각도를 과대평가하거나 프로젝트의 위협 모델을 잘못 해석하는 경우가 있다고 전했다.

스캔은 인터넷과 격리된 샌드박스에서 프로젝트의 Dockerfile과 선택적 위협 모델을 이용해 이뤄지며, 90일 공개 기한이나 보고서 게시 절차는 없다. 이메일에 첨부된 개념증명(PoC) 공격 코드가 대부분 악성코드로 차단되면서 보고서는 전면 암호화 방식으로 바뀌었고, 깃허브 보안 권고문을 통한 전달 방식도 시험 중이다. 앤스로픽은 지난 10월 2일 기준 자체 모델 스캔 후보 29,439건 가운데 6,123건만 사람이 검토했으며, 검토를 요청한 유지관리자에게는 미검증 결과 약 5,000건을 이미 전달했다.

참여를 원하는 유지관리자는 anthropics/oss-scanner 저장소에 설정 파일을 추가하는 풀 리퀘스트로 신청하며, 앤스로픽이 핵심 유지관리자 여부를 확인한다. 신청은 약 650건 접수됐지만 검토를 거쳐 114개 프로젝트만 승인됐다. 앤스로픽은 구글의 OSS-Fuzz를 모델로 삼았다고 밝혔으며, 기업용 유료 제품 Claude Security도 이미 제공하고 있다. 한편 OpenAI는 2025년 10월 Aardvark(현 Codex Security)를 발표하며 일부 비상업적 오픈소스에 무료 스캔을 제공하겠다고 밝힌 바 있다.