프로젝트 Glasswing 7개월, Anthropic 취약점 보고서의 검증·수정 격차 부각

VulnCheck는 Project Glasswing 출범 후 Anthropic에 귀속된 CVE 442건을 추적했으며, 이 가운데 실제 악용이 확인된 사례는 2건이라고 밝혔습니다. Anthropic 공개 장부에는 보고된 조사 결과 3만7,966건 중 7,349건이 공개됐고, 수정 완료 표시는 217건에 그쳤습니다. curl은 Anthropic OSS Scanner가 보낸 보고서 34건을 검토해 19건을 취약점이 아니라고 판단했고, 6건만 낮은 심각도의 취약점으로 확인했습니다.

이번 수치는 모델의 탐지 건수보다 유지관리자가 감당해야 할 검증 비용을 평가해야 함을 보여줍니다. 개발 조직은 OSS Scanner를 도입할 때 자동 생성 보고서를 확정된 취약점으로 취급하지 말고, 분류·재현·수정에 필요한 인력과 우선순위 기준을 함께 마련해야 합니다. 다만 curl 사례는 공개된 보고서 34건에 한정되며 9건은 평가 중이어서, 이를 전체 보고서의 정확도나 Anthropic이 주장하는 참양성률과 직접 비교하기는 어렵습니다.