Anthropic Cyber Mission 출범, OSS Scanner와 핵심 인프라 방어를 방어자에게 붙입니다 | DAKER 커뮤니티

보안·오픈소스 유지보수 팀은 Claude로 취약점을 찾을 때 일반 모델의 사이버 가드가 작업을 막는지가 먼저 걸립니다. Anthropic은 2026년 10월 8일 공식 뉴스에서 Anthropic Cyber Mission을 출범했고, 핵심 인프라 방어 프로그램(CIDP)과 오픈소스 대상 OSS Scanner를 첫 축으로 제시했습니다. 같은 주 초인 10월 6일에는 Cyber Verification Program(CVP)을 확대해 Project Glasswing을 흡수했다고 안내합니다. 2026년 10월 14일 공식 게시물에서 확인한 내용을 정리합니다.

CIDP와 창립 파트너

Cyber Mission은 전력·수도·교통 같은 운영기술(OT)과 정부 시스템을 지키는 쪽, 그리고 대부분의 소프트웨어가 의존하는 오픈소스를 강화하는 쪽으로 시작합니다. Critical Infrastructure Defense Program은 프론티어 Claude 모델, 현장 엔지니어, 위협 리서치를 신뢰받는 OT 보안 제공사에 가져온다고 설명합니다. 창립 파트너로 Accenture, Booz Allen, CrowdStrike, Deloitte, Dragos, Hitachi, Insane Cyber, Nozomi Networks, Palo Alto Networks, PwC, Rockwell Automation이 이름 올려져 있습니다. 6월에 시작한 주·지방 정부 사이버 방어 프로그램은 미국 주 절반 이상과 대형 공공 인프라 운영자에게 프론티어 모델과 기술 지원을 제공했다고 적습니다.

OSS Scanner는 가입한 오픈소스 프로젝트에 가장 강한 모델의 정기 스캔을 무료로 보내고, 보고서는 사람 검토 없이 모델이 작성합니다.

OSS Scanner와 CVP 연결

OSS Scanner는 Google OSS-Fuzz에서 영감을 받은 옵트인 서비스로, 등록 프로젝트에 주기적 스캔 결과를 무료로 보냅니다. 각 보고에는 악용 가능 증명(PoC), 설명, 가능한 경우 제안 패치가 포함되며, 사람 검토를 거치지 않아 속도는 빠르지만 심각도 오판 같은 부정확성이 있을 수 있다고 명시합니다. 진양성 비율은 90% 이상을 기대한다고 합니다. 용량이 부족한 프로젝트에는 기존처럼 사람 검증 CVD를 유지합니다. Defender Advantage Fund가 OSS Scanner를 무료로 유지하고, 유지보수자는 Claude for Open Source의 무료 Claude Max와 확대된 CVP에도 신청할 수 있다고 안내합니다. CVP 상세는 https://www.anthropic.com/news/cyber-verification-program에 있습니다.

한국 실무자가 당장 할 일

핵심 인프라 보안 제품·SI·장비 제조사는 CIDP 관심 등록을, 중요 오픈소스 핵심 유지보수자는 OSS Scanner 등록을, 규모와 무관한 보안팀은 확대 CVP 신청을 공식 페이지에서 안내합니다. 원문은 https://www.anthropic.com/news/anthropic-cyber-mission입니다. 국내에서 오픈소스 패키지를 운영하거나 OT 보안을 다루는 팀은, 모델이 찾은 취약점을 사람이 다시 검증하는 내부 SLA를 먼저 적어두면 OSS Scanner 수신 시 혼란이 줄어듭니다. Usage Policy 11월 12일 개정과는 별개 소식이니 정책 문서는 따로 확인하면 됩니다.

Glasswing에서 배운 것과 방어 우위

Anthropic은 Project Glasswing 파트너가 취약점을 많이 찾았지만 검증·우선순위·수정이 병목이라고 회고합니다. Cyber Mission은 그 교훈 위에서 엔지니어링 인력과 도구·자금을 핵심 인프라·오픈소스 방어에 배치한다고 설명합니다. OSS Scanner 이후 목표로는 더 많은 프로젝트에 스캔을 확대하면서도 사람 검증 CVD를 유지하고, 원하는 프로젝트에는 분류·패치 자동화를 가속하며, 패치를 넘어 안전한 아키텍처·코딩 실천을 연구·공유하는 방향을 제시합니다. Python Software Foundation, Alpha-Omega·OpenSSF(Linux Foundation), Apache Software Foundation 등 오픈소스 재단에 대한 자금 지원과, 유지보수자 과부하를 줄이는 Akrites·Gold Eagle 지원도 언급됩니다.

전망으로는 약 2년 뒤 AI가 방어에 유리해질 수 있지만 단기에는 악용 비용이 더 빨리 떨어진다고 적습니다. Glasswing에서는 발견과 수정 사이에 수개월이 지나기도 했고, OT에서는 안전 적용 시점까지 수년이 걸릴 수도 있다고 경고합니다. 한국에서 Claude로 내부 코드 스캔을 돌리는 팀은 일반 모델의 보수적 사이버 차단과 CVP Defense Access의 차이를 먼저 문서화한 뒤, OSS Scanner처럼 외부 유지보수자에게 모델 생성 보고서를 넘길지 여부를 별도 정책으로 두는 것이 안전합니다.

OSS Scanner 등록을 검토 중이거나 CVP Defense Access를 신청한 팀의 체감이 있다면 댓글로 남겨 주시면 이어서 정리하겠습니다.