앤트로픽 무료 AI 보안 검사, curl '근래 최악' 취약점 잡았다…첫 검사서 '긴급' 77건

앤트로픽이 오픈소스 프로젝트에 무료로 제공하는 AI 보안 검사 'OSS 스캐너(OSS Scanner)'가 첫 검사에서 '긴급' 77건, '높음' 803건의 취약점 후보를 찾아 개발자들에게 보냈다고 밝혔다.

앤트로픽 개발자 계정 클로드데브스(ClaudeDevs)는 19일(현지시간) X에 OSS 스캐너를 소개하며 "첫 검사에서 모델이 긴급으로 판정한 77건, 높음으로 판정한 803건을 메인테이너에게 보고했고 더 많은 프로젝트를 검사하고 있다"고 밝혔다. 이 글은 '좋아요' 1만700개, 조회 75만회를 넘겼다. 심각도는 모델이 매긴 값으로 사람이 확인하지 않았다.

대표 사례는 수많은 앱과 기기가 인터넷으로 데이터를 주고받을 때 쓰는 curl이다. 초기 버전 OSS 스캐너가 찾은 HTTP/2 업로드 메모리 해제 후 재사용(use-after-free) 버그(CVE-2026-92392)는 지난 14일 curl 8.23.0에서 고쳐졌다. curl 개발자 다니엘 스텐베리는 블로그에 "curl에서 오랜만에 나온 최악의 취약점 중 하나"라고 적었다. 악성 서버가 까다로운 조건을 맞추면 원격 코드 실행까지 이어질 수 있다고 설명했다. 영향받는 버전은 8.12.0부터 8.22.0까지다.

OSS 스캐너는 앤트로픽이 이달 8일 내놓은 서비스다. 신청한 프로젝트를 클로드 미토스(Claude Mythos) 등 최상위 모델로 정기 검사하고 재현 코드와 수정안을 붙여 보낸다. 사람 검토를 거치지 않아 틀린 보고가 섞일 수 있다. 앤트로픽은 지난 6개월 동안 취약점 후보 2만9천건을 찾았지만 사람이 검토한 것은 6천건 정도라고 밝혔다.