아파치 재단, 저장소 230곳에 AI 보안 스캔 일괄 실시 - 앤트로픽과 협업

1. 무슨 일이 있었나
아파치 소프트웨어 재단(ASF)이 9월 3일 공식 블로그에서 지난 8월 사흘간 재단 저장소 230곳에 걸쳐 보안 스캔을 한꺼번에 돌렸다고 밝혔습니다. 재단의 보안팀과 툴링팀이 함께 진행했고, 앤트로픽(Anthropic)과의 협업 프로그램인 Project Glasswing을 통해 Claude 기반 스캐닝 세션을 병렬로 돌렸다고 합니다. 여기에 툴링팀의 자체 감사 파이프라인이 OWASP ASVS 기준으로 코드를 함께 점검했습니다.

스캔에 앞서 준비 작업도 있었습니다. 75개 PMC(프로젝트 관리 위원회)와 180곳이 넘는 저장소가 사전 위협 모델링 작업에 참여를 신청했다고 합니다. 발견된 취약점은 그냥 목록만 던지는 게 아니라, 별도로 검토를 거친 패치 초안을 붙여서 재단의 공식 취약점 공개 절차를 통해 각 프로젝트 보안 담당자에게 전달하는 방식입니다. 재단은 거짓 양성(false positive)이 낮은 수준이었다고 설명했습니다.

2. 왜 눈여겨볼 만한가
요즘 오픈소스 메인테이너들이 겪는 골칫거리 중 하나가, 외부에서 AI로 대충 뽑아낸 저품질 취약점 리포트가 무분별하게 쏟아지는 상황입니다. 검증 안 된 제보를 일일이 확인하는 것만으로도 부담이 큽니다. 이번 시도는 재단이 프로젝트 단위로 스캔을 조직하고, 패치 초안까지 붙여 검증된 형태로 정리해 내려보낸다는 점에서 결이 다릅니다. 재단이 앞서 발표한 책임 있는 AI 이니셔티브의 실제 적용 사례로 보입니다.

3. 앞으로
재단은 앞으로 점진적 스캔과 추가 스캔 유형, 그리고 프로젝트가 직접 스캔을 돌릴 수 있는 셀프서비스 기능을 계획하고 있다고 밝혔습니다. 자체 저장소가 여러 개인 팀이라면, 이런 재단 주도 방식이 사내 보안 스캐닝과 취약점 처리 절차를 어떻게 표준화할지 참고할 만한 사례라고 봅니다.

🔗 https://news.apache.org/foundation/entry/security-scanning-at-foundation-scale