Anthropic, 'Cyber Mission' 시작…중요 인프라 방어 프로그램 및 OSS Scanner 발표

CIDP는 전력망, 상수도, 교통망 등을 떠받치는 제어 기술(OT)의 방어를 맡은 사업자에게 프런티어 Claude 모델, 현장에 투입되는 엔지니어, 위협 리서치를 제공하는 틀이다. 창설 파트너는 Accenture, Booz Allen, CrowdStrike, Deloitte, Dragos, Hitachi, Insane Cyber, Nozomi Networks, Palo Alto Networks, PwC, Rockwell Automation의 11개 사이며, 일부는 이미 Claude를 활용해 취약점 수정과 고객 지원을 진행하고 있다. 우선은 소수의 사업자와 협력해 어떤 방식이 효과적이고 실용적인지 파악하는 단계라고 한다. 중요 인프라용 보안 제품이나 서비스를 제공하는 기업은 관심 등록을 할 수 있다.

OSS Scanner는 Google의 OSS-Fuzz에서 착안한 옵트인 방식의 서비스다. 참여 프로젝트에는 가장 성능이 높은 모델에 의한 정기 스캔이 무상으로 제공된다. 각 보고서에는 악용 방법의 개념 증명, 설명, 가능한 경우 수정안이 포함된다. 보고서는 모델이 생성하며 사람의 검토 없이 전달되므로, 심각도 판단 오류 등이 포함될 수 있다. Anthropic은 참양성률 90% 이상을 전망하며, 정확도와 수정 품질 개선에 힘쓰겠다고 밝혔다. 충분히 대응할 수 있는 체계를 갖춘 프로젝트를 대상으로 하며, 그 밖에는 CVD 정책에 따라 사람이 검증한 공개를 계속한다.

배경에는 Project Glasswing에서의 경험이 있다. 파트너들이 많은 취약점을 발견했지만, 검증, 우선순위 설정, 수정은 여전히 어려웠으며 발견에서 수정까지 몇 달이 걸리는 사례가 많았다고 한다. OT에서는 가동 중인 기계에 안전하게 적용할 수 있을 때까지 수정을 기다려야 하며, 극히 일부는 수십 년이 걸리는 경우도 있다고 설명했다. Glasswing은 이번 주 확대된 Cyber Verification Program에 통합되었다. 6월에는 주·지방·부족·준주 정부를 위한 사이버 방어 프로그램을 시작했으며, 미국 주의 절반 이상 등에 모델과 기술 지원을 제공해 왔다.

향후 몇 달 동안 CIDP를 더 많은 파트너와 분야로 확대하고, 잘되지 않은 점을 포함해 얻은 지식을 공유할 계획이다. 오픈소스 분야에서는 메인테이너에게 발견 사항을 더 빨리 전달하고, 트리아지와 패치 적용을 자동화하며, 더 안전한 설계와 코딩 기법을 연구한다. 8월에 시작한 Defender Advantage Fund(0xDAF)가 OSS Scanner의 무상 제공을 뒷받침하고 있으며, Python Software Foundation, Alpha-Omega, OpenSSF, Apache Software Foundation 등에도 자금을 지원하고 있다. 중요한 OSS의 핵심 메인테이너는 OSS Scanner에 등록할 수 있으며, 보안 팀은 Cyber Verification Program에 신청할 수 있다.