Anthropic OSS Scanner 사용 안내
취약점 보고서를 검증하고 수정할 수 있는 오픈소스 유지관리자를 위한 서비스입니다.
Anthropic OSS Scanner는 자격을 갖춘 오픈소스 프로젝트가 신청해 이용하는 무료 취약점 검사 서비스입니다. 2026년 10월 8일 발표됐으며, 등록된 저장소를 Anthropic의 가장 강력한 모델로 주기적으로 검사하고 결과를 유지관리자에게 이메일로 보냅니다. 핵심 조건은 Anthropic 담당자의 검토 없이 보고서가 전달된다는 점입니다. 유효성 확인과 처리 우선순위 판단은 프로젝트가 맡습니다.
중요한 라이브러리나 애플리케이션을 관리하고 보고서를 조사할 여력이 있다면 공식 FAQ에서 시작하세요. 등록은 Anthropic 저장소에 풀 리퀘스트를 제출하는 방식입니다. 도구를 내려받거나 API 키를 구매했다고 등록되는 것은 아닙니다.
자료 확인: 2026년 10월 9일. 이 글은 Anthropic 발표, FAQ, 등록 코드를 분석했습니다. 프로젝트를 등록하거나 스캐너를 실행하지 않았습니다. 성능 수치는 제공업체가 보고한 결과이며, 연결된 1차 자료는 영어입니다.
어떤 프로젝트가 신청할 수 있나요?
Anthropic은 OSS-Fuzz와 유사한 기준으로 인프라와 사용자 보안에 중요한 영향을 미치는, 기반이 잡힌 프로젝트를 개별 심사합니다. 신뢰할 수 없는 입력 처리처럼 원격 공격에 노출되는지, 사용자와 의존 프로젝트가 얼마나 되는지 등을 고려합니다. FAQ에는 일정한 스타 수를 넘으면 자동 승인된다는 기준이 없습니다.
신청자는 핵심 유지관리자여야 하며 Anthropic이 그 역할을 확인합니다. 프로젝트가 중요한 이유를 짧게 설명하고 보안 메일을 처리할 담당자를 정하는 것이 좋습니다. FAQ는 검증된 높음·심각 등급 보고서를 이미 처리할 수 있는 팀을 대상으로 삼습니다. 검사가 무료여도 분류, 수정, 배포에는 유지관리자의 시간이 필요합니다.
Claude Security 및 Claude Code와의 차이
비슷한 업무를 다루더라도 접근 방식과 결과 전달은 다릅니다. OSS Scanner FAQ와 Claude Code Security Reviewer 저장소의 설명을 정리하면 다음과 같습니다.
| 도구 또는 절차 | 용도 | 이용 방식과 결과 |
|---|---|---|
| OSS Scanner | 승인된 오픈소스의 주기적 보안 감사 | 신청형 무료 서비스, 모델이 작성한 보고서를 이메일로 전달 |
| Claude Security | 상용 소스 코드 검사와 수정 | 별도의 기업용 제품 및 이용 절차 |
| Claude Code Security Reviewer | 개발 중 코드 변경 검토 | 별도 GitHub Action과 /security-review 작업 흐름 |
| Anthropic의 일반 CVD 절차 | 검증한 취약점의 조율된 공개 | 사람이 검토한 보고서와 해당 공개 정책 |
출시 연구 글은 Claude Mythos를 포함한 가장 강력한 모델을 사용한다고 설명합니다. 이는 서비스 내부 검사 체계에 관한 설명이며, 모델 다운로드나 일반 Mythos API 이용 권한을 제공한다는 뜻은 아닙니다. 공개 저장소에는 등록 설정과 준비 도구가 있으며, 호스팅된 검사 서비스 전체를 로컬에서 재현하는 방법은 문서화되어 있지 않습니다.
오픈소스 프로젝트 등록 방법
1. 빌드 환경과 보안 연락처 준비
저장소 설명과 기여 안내를 읽고, 의존성을 설치하고 프로젝트를 빌드하는 Dockerfile을 준비하세요. 빌드는 네트워크에 접근할 수 있지만 이후 보안 감사는 오프라인으로 진행됩니다. 테스트에 필요한 자료를 준비 단계에서 모두 받아 두고, 완성된 환경에서 인터넷 없이 테스트가 실행되는지 확인하세요.
등록 파일의 이메일 주소는 공개됩니다. 공개해도 되는 보안 연락용 주소를 권합니다. pgp 공개키로 암호화된 보고서를 요청하면 primary_contact에만 전달되며 auto_ccs와 함께 사용할 수 없습니다.
2. 등록 설정 추가
Anthropic 저장소를 포크한 뒤 공식 템플릿을 바탕으로 projects/my-project/project.yaml을 만드세요. 아래 최소 예시는 빌드 파일과 위협 모델이 자신의 프로젝트 저장소에 있다는 전제입니다. 예시 저장소와 연락처를 바꾸고 참조하는 파일을 준비해야 합니다.
repo: https://github.com/example/project#main
primary_contact: security@example.org
dockerfile: .oss-scanner/Dockerfile
threat_model: .oss-scanner/threat_model.md
템플릿과 검증 코드에 쓰인 소문자 dockerfile 키를 사용하세요. 또는 등록 설정 옆에 Dockerfile 파일을 두고 dockerfile 필드를 생략할 수 있습니다. 위치는 한 가지 방식만 선택하세요. 검사 대상 Git 저장소가 반드시 GitHub에 있을 필요는 없습니다.
선택 사항인 threat_model에는 신뢰할 수 없는 입력, 보안 경계, 범위 밖 동작, 심각도 기준, 유용한 재현 자료와 패치의 조건을 적을 수 있습니다. 의도한 동작을 이해하는 데 도움이 되지만, 모든 결과가 위협 모델을 정확히 반영한다는 보장은 아닙니다.
3. 설정과 오프라인 환경 확인
등록용 저장소를 체크아웃한 루트에서 사용하는 공식 준비 명령은 다음과 같습니다.
python3 tools/validate.py
tools/check my-project
첫 명령은 등록 설정을 검사합니다. 두 번째는 프로젝트를 빌드한 뒤 네트워크가 꺼진 셸을 열어 테스트를 실행할 수 있게 합니다. 공식 안내에는 Git, Docker, PyYAML이 설치된 Python 3가 필요하다고 되어 있습니다. 빌드 단계는 네트워크에 접근하므로 신뢰하는 프로젝트 정의만 실행하세요. 이 글에서는 명령을 공식 문서와 대조했으며 실제 스캐너 시험으로 실행하지 않았습니다.
4. 등록 PR 제출
PR 하나에 프로젝트 하나를 담고, 체크리스트를 작성한 뒤 서비스 약관과 기여자 계약 절차를 따르세요. Anthropic은 승인 전에 유지관리자 신원을 확인합니다. 승인된 프로젝트가 자사 인프라에서 빌드되지 않으면 주 연락처로 알립니다.
첫 검사 이후에는 새로 생긴 문제와 이전에 놓친 취약점을 찾는 검사가 이어집니다. 매일 또는 매주라는 고정 주기는 보장되지 않습니다. FAQ에 따르면 대기 중인 프로젝트 수, 사용 규모 등의 요인이 주기에 영향을 줍니다.
보고서 내용과 성능 수치 해석
Anthropic은 재현 자료와 취약점 설명을 담은 보고서 묶음을 이메일로 전달하고, 가능하면 패치 후보도 붙입니다. 문제가 처음 도입된 시점을 이분 탐색으로 찾은 결과가 포함될 수도 있습니다. 에이전트가 발견 내용을 재확인하지만 이는 사람의 검증과 다릅니다. 심각도를 높게 평가하거나 알려진 문제를 중복 보고하고, 위협 모델을 오해할 수 있습니다.
출시 당시 평가는 48개 프로젝트의 높음·심각 등급 발견 97건을 표본으로 삼았습니다. 85건은 Anthropic CVD 기준을 충족했고, 11건은 실제 문제지만 중복이었으며, 1건은 유효하지 않았습니다. 선택된 초기 표본의 결과이지 모든 심각도를 포괄하는 독립적인 정확도 실험이 아닙니다. 놓친 취약점의 수를 측정한 것도 아닙니다.
Cyber Mission 발표의 “진양성률 90% 초과”는 예상이며 서비스 보장이 아닙니다. 자체 평가에서는 확인된 문제, 중복, 심각도 오류, 무효 보고서를 별도로 기록하세요.
유지관리자를 위한 보고서 처리 절차
다음은 이 글에서 제안하는 운영 절차이며 Anthropic의 서비스 약속은 아닙니다.
- 배정하고 기록합니다. 접근을 제한한 보안 메일함에서 담당자를 정하고 보고서 ID, 영향받는 리비전, 초기 상태를 기록합니다.
- 재현하고 중복을 확인합니다. 격리된 테스트 환경에서 재현 자료를 확인하고 기존 보안 권고나 비공개 보고서와 비교합니다. 중복 보고서도 실제 결함을 설명할 수 있습니다.
- 영향을 평가합니다. 공격자가 입력을 제어할 수 있는지, 지원되는 구성에서 문제 경로에 도달하는지, 어떤 권한이 필요한지 확인한 뒤 프로젝트의 심각도 기준을 적용합니다.
- 패치를 검토하고 릴리스합니다. 제안된 변경을 확인하고 회귀 테스트와 호환성 검증을 추가합니다. 민감한 내용을 공개하기 전에 기존 보안 절차에 따라 수정과 권고를 조율합니다.
예를 들어 “심각”으로 분류된 문제에 도달하려면 관리자 권한이 필요하다면, 그 전제 조건을 기록하고 영향을 다시 판단하세요. 최초 등급이 틀렸다는 이유만으로 보고서를 버릴 필요는 없습니다. 반복되는 오해는 위협 모델 파일에 반영하고 Anthropic에 답장으로 알려주세요.
공개 정책, 중단과 자주 묻는 질문
모든 보고서에 90일 공개 기한이 적용되나요?
아닙니다. FAQ는 미검증 결과에 자동 90일 기한을 두지 않는다고 설명합니다. 나중에 Anthropic이 수동으로 검증한 결과는 CVD 정책에 따라 공개할 수 있으며, 기간은 사람이 검증했다는 통지를 받은 시점부터 시작합니다. 영원히 비공개로 유지된다는 약속은 아닙니다.
중단하거나 탈퇴할 수 있나요?
PR로 disabled: true를 설정하면 보고서 수신을 일시 중단할 수 있고, 등록 디렉터리를 삭제하면 탈퇴할 수 있습니다. 이후에도 일반적인 사람이 검토한 CVD 보고서는 받을 수 있습니다. FAQ는 향후 공개 정책 변경 시 사전 안내와 탈퇴 선택권을 제공한다고 설명합니다.
무료인가요? 다른 검사를 대체하나요?
승인된 프로젝트의 OSS Scanner 검사 비용은 Anthropic이 부담합니다. 다만 의존성 검사, 테스트, 사람의 보안 검토를 함께 유지하는 것을 권합니다. 공개된 자료는 모든 취약점을 찾는다는 근거가 아닙니다. 팀이 추가 보고서를 감당하면서 검토된 수정으로 이어갈 수 있는지가 중요한 판단 기준입니다.
OmniaKey는 어디에 쓰이나요?
별도의 개발과 수정 작업에는 Claude Code 설정 가이드와 현재 게이트웨이 선택지를 보여 주는 모델 목록을 참고할 수 있습니다. OSS Scanner 등록은 Anthropic에서 진행합니다. OmniaKey 계정이 이 서비스나 내부 모델의 이용 권한을 제공하지는 않습니다.