Anthropic 사이버 미션

Anthropic는 핵심 인프라와 오픈소스 소프트웨어(OSS)의 방어자들에게 시스템을 보호하기 위해 필요한 도구, 연구 및 자원을 제공하기 위한 Anthropic 사이버 미션을 출범시켰습니다. 이 이니셔티브는 방어자들이 직면한 자원 부족 문제를 해결하고, 국가 주도의 적들이 취약점을 악용하기 위해 AI를 점점 더 활용하고 있는 상황에 대응하기 위한 것입니다.

핵심 인프라 방어 프로그램 (CIDP)

Anthropic는 운영 기술(OT) — 전력망, 수자원 시스템, 교통망을 구동하는 컨트롤러, 제어 소프트웨어 및 산업 네트워크 — 를 보호하기 위해 핵심 인프라 방어 프로그램(CIDP) 을 도입합니다. OT 시스템은 종종 패치를 위해 오프라인 상태로 전환할 수 없으며, 독점적인 장비에 의존하기 때문에 장기적인 악용에 특별히 취약합니다.

CIDP는 선도적인 Claude 모델, 현장 엔지니어, 그리고 위협 연구를 신뢰할 수 있는 보안 제공업체 집단에 제공합니다. 창립 파트너로는:

  • 컨설팅 및 기술 기업: Accenture, Booz Allen, Deloitte, PwC.
  • 보안 회사: CrowdStrike, Dragos, Insane Cyber, Nozomi Networks, Palo Alto Networks.
  • 산업 제조업체: Hitachi, Rockwell Automation.

이 파트너들은 Claude를 사용하여 핵심 서비스를 방해할 수 있는 취약점을 사전에 식별하고 수정합니다. 이 프로그램은 지난 6월에 주, 지방, 부족 및 영토 정부를 대상으로 출범한 이전 사이버 방어 프로그램을 기반으로 하며, 이미 미국 전역의 절반 이상의 주에 지원을 제공했습니다.

오픈소스 소프트웨어 보안 강화

현대 소프트웨어가 대부분 의존하는 공유 코드를 강화하기 위해, Anthropic는 OSS 스캐너를 출시합니다. 이는 선도적인 모델을 사용해 정기적으로 오픈소스 프로젝트를 무료로 보안 스캔하는 선택 참여 서비스입니다.

OSS 스캐너 기능

  • 자동 보고서: 프로젝트는 모델이 생성한 보고서를 받으며, 이에는 악용에 대한 개념 증명, 버그 설명, 제안된 수정 방법이 포함됩니다.
  • 성능: Anthropic는 진정한 긍정률이 90% 이상일 것으로 예상하지만, 보고서는 인간 검토 없이 전송되며 심각도 평가에 오류가 포함될 수 있습니다.
  • 대상 사용자: 이 서비스는 발견 내용을 대규모로 우선순위를 정할 수 있는 프로젝트를 대상으로 합니다. 이러한 능력이 없는 프로젝트는 Anthropic의 조율된 취약점 공개(CVD) 프로세스를 통해 인간 검증된 공개를 계속 받게 됩니다.

장기적인 OSS 목표

Anthropic는 수동 우선순위 정하기에서 자동 패치 적용으로의 전환을 가속화하고, 단순한 패치를 넘어서는 새로운 보안 아키텍처와 코딩 관행을 연구하려고 합니다. 이 생태계를 지원하기 위해 Anthropic는 Python Software Foundation, Apache Software Foundation, Linux Foundation(Alpha-Omega 및 OpenSSF를 통해), 그리고 취약점 조정자인 Akrites와 Gold Eagle에 자금을 지원했습니다.

전략적 맥락과 "방어자의 우위"

Anthropic의 이니셔티브는 AI가 취약점 악용 비용을 낮췄지만, 검증 및 수정 과정은 여전히 느리고 인간에 의존한다는 사실에 기반합니다. Project Glasswing 에서 얻은 교훈은 취약점 발견과 해결 사이에 수개월이 걸릴 수 있음을 보여줍니다.

Anthropic는 2년 내에 AI가 방어 측에 유리하게 작용할 것으로 예측하며, 이는 소프트웨어 배포 전에 버그를 더 쉽게 포착하고 본질적으로 안전한 소프트웨어를 작성하는 데 도움이 될 것입니다. 그 사이, 사이버 미션은 기계 속도의 공격과 인간 속도의 방어 사이의 격차를 메우는 것을 목표로 합니다.

접근 및 참여 방법

Anthropic는 보안 전문가들이 도구에 참여할 수 있도록 여러 경로를 제공합니다:

  • 핵심 인프라 제공업체: 보안 벤더 및 장비 제조업체는 CIDP에 등록할 수 있습니다.
  • OSS 유지보수자: 핵심 유지보수자는 OSS 스캐너에 등록할 수 있습니다.
  • 보안 팀: 운영자 및 유지보수자는 사이버 검증 프로그램 에 지원하여 Claude의 사이버 기능에 대한 확장된 접근 권한과 감소된 차단 분류기 사용을 얻을 수 있습니다.

Sources