앤트로픽, 취약점 찾아 패치까지 제안하는 '클로드 코드 시큐리티' 공개

소프트웨어 보안 현장의 고민은 늘 한결같았습니다. 점검해야 할 코드는 매일 쏟아지는데 전문 인력은 턱없이 부족하고, 기존 정적 분석 도구는 노출된 비밀번호 같은 뻔한 패턴만 잡을 뿐 복잡한 비즈니스 로직 취약점은 번번이 놓치기 일쑤였습니다.

Anthropic이 이 문제를 정면으로 겨냥한 Claude Code Security를 선보였습니다. 웹 기반 Claude Code에 통합된 연구용 프리뷰 기능으로, Enterprise 및 Team 요금제 고객에게 우선 제공되며 오픈소스 프로젝트 관리자에게는 신속한 무료 접근 권한이 열립니다.

사람 보안 연구원처럼 문맥을 추론한다

기존의 규칙 기반 정적 분석 도구는 이미 알려진 취약점 패턴과 코드를 단순 대조하는 방식에 머물렀습니다. 하지만 공격자들이 파고드는 것은 컴포넌트 간의 엉킨 상호작용이나 권한 제어 오류처럼 복잡한 문맥 속 결함입니다.

Claude Code Security는 단순히 패턴을 훑는 대신 사람이 코드를 분석하듯 전체 구조를 읽고 추론합니다. 데이터가 애플리케이션 내부를 어떻게 흘러가는지 추적해 기존 규칙 기반 도구가 놓치던 치명적인 결함을 찾아냅니다.

오탐으로 인해 개발자가 지치는 일을 막기 위해 다단계 검증 시스템도 도입했습니다. Claude가 자신의 발견 결과를 스스로 반박하고 증명해 보면서 허위 경보를 걸러내고, 각 취약점마다 심각도와 신뢰도 점수를 매깁니다.

문제를 찾으면 대시보드에 구체적인 수정 패치 코드까지 제안하지만, 사람의 승인 없이 코드가 자동으로 수정되지는 않습니다. 최종 적용 권한은 전적으로 개발자에게 남겨두는 방식입니다.

오픈소스에서 수십 년 묵은 취약점 500개 이상 발견

이 시스템의 기반 모델은 이번 달 초 공개된 Claude Opus 4.6입니다. Anthropic의 레드팀은 이 모델을 실제 해킹 방어 대회에 투입하고 미국 태평양 북서부 국립연구소와 핵심 인프라 방어 실험을 진행하며 방어 능력을 끌어올렸습니다.

실제 프로덕션 환경의 오픈소스 코드베이스를 점검한 결과, 수십 년간 전 세계 전문가들의 검토를 거치고도 발견되지 않았던 취약점을 포함해 500개 이상의 보안 결함을 찾아냈습니다. 현재 해당 프로젝트 관리자들과 함께 책임 있는 공개 절차를 밟고 있습니다.

왜 중요한가

우리는 이번 발표가 생성형 AI가 소프트웨어 엔지니어링 영역에서 제공할 수 있는 가장 확실하고 실용적인 가치를 짚어냈다고 봅니다.

개발자와 기업 입장에서는 고비용의 전문 보안 감사 인력을 쓰기 어려웠던 영역을 자동화할 수 있다는 점이 가장 큽니다. 단순히 취약점 목록만 띄워주는 것이 아니라 즉시 검토할 수 있는 맞춤형 패치까지 작성해 주기 때문에, 백로그에 쌓여 방치되던 취약점 해결 속도가 비약적으로 빨라집니다. 특히 인력난에 시달리는 오픈소스 생태계에 무료 접근성을 제공한 것은 공급망 전반의 안전판을 높이는 영리한 행보입니다.

업계 전반으로 보면 AI를 활용한 사이버 방어전이 본격화되었음을 뜻합니다. 공격자들 역시 프론티어 AI를 사용해 미공개 취약점을 찾는 속도가 빨라진 만큼, 방어자도 동일한 수준의 지능형 모델로 선제 대응하지 않으면 방어 체계가 무너질 수밖에 없습니다. 이는 향후 코딩 에이전트 시장에서 자체 보안 감사 능력이 핵심 경쟁력으로 자리 잡게 됨을 예고합니다.

다만 위험 요소도 분명합니다. AI가 제시한 패치가 표면적인 버그를 막으면서 시스템의 다른 비즈니스 로직을 미묘하게 망가뜨릴 가능성을 배제할 수 없습니다. 개발자들이 AI의 높은 신뢰도 수치를 맹신해 기계적으로 패치를 승인하는 문화가 정착된다면 또 다른 잠재적 결함이 발생할 수 있으므로, 최종 검증 단계의 철저한 관리가 필수적입니다.