Anthropic Cyber Mission 출범, 인프라·오픈소스 방어 지원
Anthropic이 10월 8일 18시 04분(한국 시각, 09:04 UTC) 'Anthropic Cyber Mission'을 발표했습니다. 소프트웨어와 시스템을 지키는 방어자에게 도구, 연구, 자원을 제공하는 장기 사업입니다. 첫 영역은 핵심 기반시설의 운영기술(OT) 보안과 오픈소스 소프트웨어 보안이고, 각각 Critical Infrastructure Defense Program(CIDP)과 OSS Scanner를 내놓았습니다.
1/기반시설 방어와 오픈소스 스캔, 두 가지로 시작
CIDP는 전력망·수도·교통망을 움직이는 운영기술을 지키는 업체들에게 Claude 최신 모델(frontier model), 현장 파견 엔지니어, 위협 연구 결과를 제공합니다. 창립 파트너는 Accenture, Booz Allen, CrowdStrike, Deloitte, Dragos, Hitachi, Insane Cyber, Nozomi Networks, Palo Alto Networks, PwC, Rockwell Automation입니다. OSS Scanner는 오픈소스 프로젝트에 Anthropic의 가장 강력한 모델로 하는 정기 보안 스캔을 무료로 제공하는 신청형 서비스로, Google의 OSS-Fuzz에서 착안했다고 합니다. 10월 초에는 Project Glasswing을 확대된 Cyber Verification Program에 합쳤습니다.
2/90% 넘는 정탐률 기대, 수정까지는 몇 달
Anthropic은 OSS Scanner 보고서의 정탐률(true-positive rate)이 90%를 넘을 것으로 예상한다고 밝혔습니다. 측정 결과가 아니라 예상치입니다. 보고서에는 악용 방법을 보여 주는 개념증명(PoC), 설명, 가능한 경우 수정 제안이 들어갑니다. 6월에 시작한 주·지방·부족 정부 대상 사이버 방어 프로그램은 미국 주의 절반 이상과 일부 대형 공공 기반시설 운영자에게 모델과 기술 지원을 제공했다고 합니다. Glasswing에서는 취약점을 찾고 고치기까지 수개월이 걸리는 경우가 많았고, 운영기술은 가동 중인 설비에 안전하게 적용할 수 있을 때까지 기다리느라 드물게 수십 년이 걸릴 수도 있다고 설명합니다.
3/참여는 유형별로 세 갈래
CIDP는 기반시설용 보안 제품·서비스를 만드는 보안 업체, 시스템 통합업체, 장비 제조사가 관심을 등록하는 방식입니다. 먼저 소규모 공급업체 집단과 함께 어떤 방식이 효과적이고 실용적인지 배운 뒤 더 많은 파트너와 업종으로 넓힌다고 합니다. OSS Scanner는 핵심 오픈소스 프로젝트의 핵심 메인테이너가 등록합니다. 규모와 관계없이 기반시설 운영자와 오픈소스 메인테이너를 포함한 보안팀은 확대된 Cyber Verification Program에 신청해 Anthropic 모델을 쓸 수 있습니다. 메인테이너는 무료 Claude Max 구독을 주는 Claude for Open Source에도 신청할 수 있습니다.
4/무료이지만 사람 검토 없는 보고서
OSS Scanner는 무료이며, 8월에 출범한 Defender Advantage Fund(0xDAF)가 무료 운영을 뒷받침합니다. 보고서는 모델이 만들어 사람의 검토 없이 발송되므로 더 빨리 받을 수 있는 대신 심각도 등급이 틀리는 것 같은 부정확한 내용이 섞일 수 있습니다. 쏟아지는 결과를 소화할 여력이 있는 프로젝트를 대상으로 하며, 그렇지 못한 프로젝트에는 기존 공개 정책(CVD)에 따라 사람이 검증한 취약점 공개를 계속합니다. CIDP의 이용 비용은 공지에 나와 있지 않습니다.
5/찾기는 쉬워졌고 고치기가 병목AMEET 해석
Anthropic은 취약점을 악용하는 비용은 떨어졌지만 검증·공개·수정은 여전히 사람에게 달려 느리다고 진단합니다. 이번 발표는 그 병목을 겨냥한 것으로 읽힙니다. OSS Scanner는 보고서 전달을 빠르게 하고, CIDP는 수정이 어려운 운영기술 현장 쪽에 사람과 모델을 붙입니다. 다만 Anthropic은 2년 뒤에는 AI가 방어에 유리해질 것으로 보면서도 단기적으로는 그렇지 않을 수 있다고 인정하고, 성과가 나오려면 수년이 걸린다고 밝혔습니다. 첫 단계는 소규모 파트너 집단이라 실제 효과는 앞으로 공유될 결과를 봐야 알 수 있습니다.