Anthropic, 오픈소스 프로젝트를 위한 무료 취약점 스캔 서비스 시작

Anthropic는 오픈소스소프트웨어(OSS) 프로젝트를 대상으로 한 무료 보안 스캔 서비스인 'OSS Scanner'를 시작했다. 이 서비스는 선택적 참여 방식, 즉 참여를 희망하는 프로젝트의 관리자가 직접 신청하는 방식으로 제공된다. 등록한 관리자에게는 정기적으로 보안 보고서가 전달된다.

보고서 생성에는 Anthropic이 개발한 자사 모델 중에서도 최고 수준의 모델(Claude Mythos 포함)이 사용된다. 다만 보고서는 인간 직원에 의한 검토를 거치지 않고 전송된다는 점이 특징적이다. 관리자 자신이 내용을 검증하고, 제안된 수정 사항 중 어느 것을 채택할지를 판단하는 형태가 된다.

오픈소스란 소스코드(프로그램의 설계도)를 누구나 열람·이용·수정할 수 있는 형태로 공개하는 소프트웨어를 말한다. 현대의 디지털 인프라 대부분은 OSS를 기반으로 구축되어 있으며, 은행·의료·행정 시스템에도 널리 사용되고 있다. 한편 그 보급으로 인해 취약점(보안상의 결함)이 발견되었을 경우의 영향 범위도 넓어지기 쉬운 측면이 있다.

OSS의 보안 관리는 종래부터 과제가 많은 분야다. 많은 프로젝트는 자원봉사자나 소수의 팀에 의해 유지되고 있으며, 전담 보안 담당자를 둘 여유가 없는 경우도 적지 않다. 이러한 환경에서는 취약점 발견이 지연되거나 수정이 미루어질 위험이 높아진다.

이번 OSS Scanner는 이러한 구조적 문제에 대해 인공지능을 활용하려는 시도로 볼 수 있다. 무료로 제공되는 점은 자원이 제한된 프로젝트에 특히 의미가 크다. 한편 인공지능이 출력한 보고서의 정확도나 오탐(원래는 문제없는 부분을 취약점으로 잘못 지적하는 것)에 대한 대응은 최종적으로 관리자에게 맡겨지는 설계가 되어 있다.

인공지능을 사용한 보안 스캔은 기술적으로는 유망한 방법으로 알려져 있지만, 그 출력을 그대로 신뢰하지 않고 관리자가 제대로 확인하는 구조를 만든 점은 안전성에 대한 일정한 배려로도 읽힌다. 선택적 참여 방식을 채택한 것도 참여의 주도권을 프로젝트 측에 남기는 설계라고 할 수 있다.

Anthropic은 인공지능 안전 연구를 중심에 두는 기업으로 알려져 있으며, 이번의 시도는 그 입장과 일치하는 것으로 위치지을 수 있다. 인공지능 모델 자체의 안전성을 연구할 뿐 아니라, 인공지능을 도구로서 사회의 보안 과제에 활용하려는 움직임이 확산되고 있는 가운데, 향후 이러한 종류의 서비스가 어느 정도까지 실질적인 효과를 올릴 수 있을지 OSS 개발 커뮤니티의 반응이 주목되는 바이다.