Anthropic은 2026년 10월 8일 OSS Scanner라는 무료 서비스를 발표했다. 프로젝트 유지관리자는 가입해 재현 코드와 설명, 권장 패치가 포함된 AI 생성 보안 보고서를 받을 수 있다. 보고서는 사람의 검토 절차 없이 직접 전달되며, 수정 사항을 검증하고 적용할지는 유지관리자가 결정한다.
서비스 작동 방식
스캔에는 Claude Mythos를 비롯한 Anthropic의 가장 강력한 모델이 사용된다. 유지관리자가 프로젝트를 빌드하는 Dockerfile을 포함한 GitHub 풀 리퀘스트를 제출하면 스캐너가 오프라인으로 실행된 뒤 조사 결과를 이메일로 보낸다. 각 보고서는 이분 탐색을 통해 버그를 유발한 변경 사항을 찾아내고, 적용 가능한 패치도 제안한다. 유지관리자는 위협 모델 파일을 추가해 심각도 평가와 보고서 형식을 안내할 수 있다.
초기 결과와 커뮤니티 반응
첫 6개월 동안 모델은 잠재적 취약점 29,000건 이상을 찾아냈고, 이 가운데 약 6,000건은 사람이 직접 검토했다. 초기 도입자들은 이미 검증되지 않은 보고서를 수십 건 받아봤다. 예를 들어 PostgreSQL 유지관리자 Noah Misch는 빠르게 전달된 보고서에 “거의 그대로” 사용할 수 있는 수정 사항이 포함돼 있었다고 말했다. wolfSSL의 Todd Ouska는 보고서 74건을 받았으며, 두 건을 제외한 나머지는 모두 유효한 것으로 확인됐고 이 중 다섯 건은 CVE로 등록됐다고 전했다. curl의 Daniel Stenberg는 curl 8.23.0에서 수정된 use-after-free 버그(CVE-2026-92392)를 스캐너가 발견했다고 밝혔다.
왜 중요한가
인터넷의 상당 부분을 뒷받침하는 오픈소스 프로젝트가 보안 버그를 조기에 찾아낼 무료 자동화 도구를 얻게 되면서, 취약한 상태로 노출되는 시간을 줄일 수 있다. 개발자는 수동 코드 검토를 덜 하고 패치를 더 빨리 적용할 수 있지만, 배포 전에 AI가 생성한 수정 사항을 검증해야 한다.
