무료 취약점 발견은 무료 수정이 아닙니다. Anthropic OSS Scanner는 승인된 프로젝트에 제공자의 사람 검토 없는 모델 보고서를 보냅니다. 증거가 검증 시간보다 더 절약하는지, 팀이 안전하게 릴리스할지 판단해야 합니다.
핵심 유지관리자 신청과 개별 승인이 필요합니다. 재현, 설명, 도입 시점 추정, 패치 후보가 포함될 수 있습니다. 감당 못 할 팀에는 사람 검토 경로가 남습니다. 보장 수준이 다른 절차입니다.
표본과 전체 정확도 구분하기
48개 프로젝트의 높은·치명적 판정 97건 중 85건이 공개 기준을 충족했고 11건은 실제 중복, 1건은 무효였습니다. 생태계 전체 정확도가 아니며 90% 초과 예상도 회사 추정입니다.
실제 버그라도 심각도는 바뀝니다. 접근 가능성, 인증, 기존 통제, 신뢰 가정을 보고 유효성·중복·심각도를 분리합니다.
재현과 릴리스 책임 정하기
수신 담당과 백업을 지정하고 격리 재현, 중복 제거, 위협 모델 확인 뒤 공개를 정합니다. 공개 코드는 비공개 이슈나 미공개 수정까지 무해하게 하지 않습니다.
패치의 정상 동작, 회귀, 다른 공격 경로, 호환성을 검토합니다. 재현 성공이 패치 안전 증명은 아닙니다. 병합 뒤에도 버전 출시와 의존 시스템 업데이트가 필요합니다.
도구를 함께 사용하기
퍼징은 충돌 같은 실행 증거, 모델은 권한과 파일 간 관계를 봅니다. 정적 분석, 의존 검사, 전문가가 보완합니다. 잘못된 위협 가정을 서로 검증해야 합니다.
발견, 검토, 심각도 승인, 릴리스는 다른 수치입니다. 후보 적체는 처리량이지 보호 완료가 아닙니다. 경쟁사 수도 정의가 다르면 비교할 수 없습니다.
받는 능력에 빈도 맞추기
재현, 중복, 하향, 패치 수용, 출시 시간, 재개방을 추적합니다. 보고 증가가 봉사자를 소모하면 속도를 조절합니다.
여력이 부족하면 느린 사람 검토 경로가 낫습니다. 안전 업데이트가 사용자에게 가고 유지 시간도 남아야 성공입니다. 참여는 무료 모델보다 운영 약속입니다.