7개월이 지난 Glasswing, 기대에 못 미치는 발견으로 유지보수자에게 과도한 부담을 주다

VulnCheck가 추적한 Anthropic에 귀속되는 CVE는 442건으로, 올해 전체의 약 0.5%임. Glasswing이 출범 당시 내세운 대규모 고위험 취약점 발견과 공개된 성과 사이에 간극이 있음 Anthropic의 발견 37,966건 중 공개된 것은 7,349건, 수정 완료로 표시된 것은 217건임. 9월 이후 발견은 약 12,000건 늘었지만 수정 완료는 15건 증가하는 데 그침 중복과 철회가 수정 완료보다 많은 가운데 Anthropic의 정탐률은 94.2% 로 상승함. 중복 및 철회 결과가 정탐률 산정에 반영되는지는 의문으로 남음 OSS Scanner는 사람이 검토하지 않은 모델 생성 보고서를 제공하며, 검증 병목을 없애기보다 이를 신청한 오픈소스 유지보수자에게 옮김 curl이 공개한 보고서 34건 중 19건은 취약점이 아닌 것으로 판정됐고, 6건만 낮은 심각도의 취약점으로 확인됐으며 9건은 평가 대기 중임. 소수의 저위험 취약점을 확인하는 데도 유지보수팀의 검토 부담이 발생함 출범 당시 약속과 CVE 추적 결과 Anthropic은 4월 7일 Project Glasswing을 출범하며, 추가로 수천 건의 높음 및 치명적 심각도 취약점을 발견해 오픈소스 유지보수자에게 책임 있게 공개하는 절차를 진행 중이라고 밝혔음 AI는 취약점 발견에 유용한 도구이지만, 그 유용성을 특정 최첨단 모델 하나의 역량만으로 설명할 수는 없음. 출범 당시 공개된 근거가 적었던 만큼 실제 성과 검증이 필요했음 VulnCheck의 추적은 4월 17일 Anthropic Credited CVEs 저장소에서 시작됐으며, Anthropic의 공개 장부보다 앞섰음 CVE 기록, GHSA, Linux 커널 커밋, Anthropic 장부를 종합하고 보안 권고를 수동 점검해 누락될 수 있는 CVE도 확인함 Anthropic 장부는 드물게 일괄 갱신되는 방식임 7개월 동안 추적한 CVE 442건은 월평균 63건이며, 올해 발행된 전체 93,450건의 약 0.5%임 이는 Anthropic 장부에 수정 완료로 표시된 217건의 두 배를 넘음 실제 악용이 확인된 취약점은 2건 Glasswing은 취약점 발견의 Mythos 시대가 열렸다는 메시지와 함께 출범했지만, 공격자가 실제 활용한 사례는 제한적으로 확인됨 VulnCheck KEV와 대조한 결과, 추적된 442건 중 실제 악용이 확인된 것은 2건, 0.45% 임 해당 취약점은 CVE-2026-...