VulnCheck: 7개월간 Anthropic의 취약점 장부에 기록된 조사 결과 37,966건 중 217건 수정

취약점 인텔리전스를 판매하는 보안 업체 VulnCheck가 Anthropic의 Project Glasswing에 대한 11월 업데이트를 발표했습니다. 아래 수치와 해석은 Anthropic이 아닌 VulnCheck의 것입니다.

VulnCheck의 집계: VulnCheck는 4월 이후 Anthropic이 발견한 것으로 기록된 CVE 442건을 추적해 왔습니다. 이는 올해 공개된 CVE 93,450건의 약 0.5%에 해당하며, 이 가운데 실제 공격에 악용된 사례는 2건뿐이라고 밝혔습니다. Anthropic의 공개 장부에 기재된 조사 결과 37,966건(11월 2일 업데이트 기준) 가운데 7,349건(19.4%)은 공개됐고, 217건은 수정 완료, 1,654건은 중복, 419건은 철회로 표시됐다고 VulnCheck는 밝혔습니다. 9월 8일 업데이트 이후 장부에 조사 결과 약 11,800건과 수정 15건이 추가됐다고 합니다.

실제 양성률: 장부에는 실제 양성률이 94.2%로 기재돼 있으며, 출시 당시의 90.8%에서 상승했습니다. VulnCheck는 중복과 철회를 어떻게 집계하는지 의문을 제기합니다.

curl: VulnCheck에 따르면 curl 유지관리자 Daniel Stenberg는 Anthropic의 OSS Scanner로부터 제보 45건을 받았으며, 그중 하나는 중간 심각도, 나머지는 낮은 심각도로 평가됐습니다. 지금까지 공개된 34건 가운데 19건은 취약점이 아닌 것으로 판단됐고, 6건은 낮은 심각도의 취약점으로 확인됐으며, 9건은 아직 평가를 기다리고 있다고 VulnCheck는 밝혔습니다.

VulnCheck는 AI가 취약점 탐지에 유용한 도구라고 평가하면서도, 공개된 증거는 출시 당시의 주장에 미치지 못한다고 말합니다. 게시물에는 Anthropic의 답변이 포함돼 있지 않습니다.