오픈소스 소프트웨어용 옵트인 취약점 탐지 서비스

핵심 발표

• 오픈소스 프로젝트 대상 무료 옵트인 취약점 스캐너 OSS Scanner 출시
• Project Glasswing에서의 Claude 취약점 탐지 경험을 바탕으로 한 정기 보안 스캔 제공

주요 변화

• 사람의 검토·분류 없이 모델이 생성한 취약점 보고서를 빠르게 전달하는 패스트트랙
• 재현 코드, 취약점 설명, 가능한 경우 버그 도입 시점 분석과 후보 패치 포함
• Claude Mythos를 포함한 최고 성능 모델 활용

연구 방법·결과

• 48개 프로젝트의 심각도 Critical·High 취약점 97건 중 85건(88%)이 CVD 기준 충족
• 나머지 12건 중 11건은 알려진 이슈 또는 스캔 내 중복, 1건은 false positive
• 초기 검증에서 다수 프로젝트에 걸쳐 수백 건의 버그 보고서와 인증 없는 원격 코드 실행으로 연결 가능한 취약점 확인

사용 방법·가용성

• 적격 프로젝트 핵심 유지보수자의 GitHub repo PR 제출 방식 등록
• 인프라 및 사용자 보안에 중대한 영향을 주는 프로젝트를 기준으로 사례별 적격성 판단
• 기존 CVD 프로세스를 통한 사람 검증 취약점 공개 병행