Claude Opus 4.6의 500개 제로데이: 세 개의 패치가 보여주는 것

2026년 2월 5일 Anthropic의 Frontier Red Team은 연구를 발표하며, 같은 날 출시된 Claude Opus 4.6이 500개 이상의 고위험 취약점을 오픈소스 소프트웨어에서 — 작업별 도구, 맞춤형 스캐폴딩 또는 특수 프롬프트 없이 — 발견하고 검증했다고 밝혔다. 세 가지 발견이 자세히 설명된다: Ghostscript의 누락된 스택 경계 검사, OpenSC의 검사되지 않은 일련의 strcat 호출, 그리고 사전이 가득 찰 때 LZW 압축이 동작하는 방식에 달려 있는 GIF 인코더 CGIF의 버퍼 오버플로. Anthropic은 세 가지 모두 현재 유지관리자에 의해 패치되었다고 말하며, 그 설명에 따르면 버그는 발견되고 검증되어 보고되었다. 게시물은 많은 프로젝트가 전담 보안 인력이 없는 소규모 팀이나 자원봉사자에 의해 유지관리되므로 보고 및 패치 부담이 그들에게 돌아갔다고 지적한다. 해당 발견에 대한 아카이브 자체 항목은 실제 피해가 기록되지 않은 정보 등급으로 분류되어 Orca AI Incident Archive에 2026년 2월의 다른 정책 및 공개 기록과 나란히 있다.

Anthropic이 실제로 발표한 내용

이 글의 제목은 LLM이 발견한 0-day 취약점의 커져가는 위험 평가 및 완화이며, Frontier Red Team의 Nicholas Carlini, Keane Lucas, Evyatar Ben Asher가 동등한 기여자로, Newton Cheng, Hasnain Lakhani, David Forsythe, Kyla Guru와 함께 작성한 것으로 표시되어 있습니다. 페이지에는 2026년 2월 5일 게시일과 2026년 2월 6일자 수정 노트가 있으며, 작성자 목록이 업데이트되었음을 기록하고 있습니다. 아카이브는 이 글을 red.anthropic.com에서 인용하며, 해당 주소는 현재 anthropic.com/research/zero-days로 리디렉션됩니다.

방법이 헤드라인 숫자보다 더 중요하다. Anthropic은 모델을 최신 버전의 오픈소스 프로젝트에 접근할 수 있는 가상 머신 안에 배치하고, 표준 유틸리티와 인간 보안 연구원이 사용할 도구인 디버거와 퍼저를 제공했지만, 사용법에 대한 지시는 주지 않았으며, 게시물의 표현대로 "취약점을 더 잘 찾는 방법에 대한 전문 지식을 제공했을 맞춤형 하네스도 없었다"고 말한다. 테스트된 것은 모델의 기본 동작이었다.

팀은 크래시가 논리 오류보다 확인하기 쉽다는 이유로 메모리 손상 버그로 조사 범위를 좁혔다. Anthropic은 이것이 보장이 아니라 필터임을 분명히 밝힌다. "프로그램을 크래시하게 만드는 모든 입력이 고위험 취약점인 것은 아닙니다." 그래서 크래시들은 비평하고 중복을 제거하고 우선순위를 다시 매기기 위해 모델로 돌아갔고, 그다음 사람에게 넘어갔다. "초기 발견 라운드에서는 우리 보안 연구원들이 각 취약점을 검증하고 패치를 직접 작성했습니다. 발견 건수가 늘어나면서 검증과 패치 개발을 돕기 위해 외부(인간) 보안 연구원들을 투입했습니다." 게시물에 따르면 패치 자동화는 여전히 구축 중이었다.

세 가지 버그, 그리고 그 뒤에 이어진 패치들

세 가지 사례는 공통된 구조를 보여 줍니다. 자동화 도구는 이미 실패했고, 모델은 입력 변이와는 다른 무언가를 추론하여 버그를 찾아냈습니다.

• Ghostscript, PostScript 및 PDF 인터프리터입니다. 퍼징과 이후 수동 분석으로는 아무것도 찾지 못했습니다. 그런 다음 모델은 프로젝트의 Git 기록을 읽고, 게시물에서 Type 1 charstring에 "MM blend 값에 대한 스택 경계 검사"를 추가한다고 설명한 커밋을 발견했으며, 그 커밋 이전의 코드가 취약했을 것이라고 추론한 뒤, 같은 조치를 받지 않은 다른 호출 지점을 찾기 시작했습니다. 하나를 발견했습니다: gdevpsfx.c — 게시물은 292행을 인용합니다 — 그리고 프로그램을 충돌시키는 파일을 만들었습니다. 저장소가 이를 뒷받침합니다: Chris Liddell의 2025년 9월 5일자 커밋 87486fb801의 제목은 "Type 1 charstrings: MM blend 값에 대한 스택 경계 검사 추가"입니다. Ken Sharp의 이후 수정인 2026년 1월 26일자 커밋 4e392a82는 글꼴 변환기의 해당 호출 바로 앞에 경계 검사를 추가하며, Bug 709080에 대해 제출되었고, 그 보고서 제목은 "Ghostscript Type 1 MM blend 스택 경계 검사에 대한 불완전한 수정"입니다. 2026년 2월 13일의 커밋은 같은 변환기에서 경계 검사를 확장했습니다. 어떤 커밋 메시지에도 버그를 누가 보고했는지는 나와 있지 않습니다.

• OpenSC, 스마트 카드 데이터를 위한 명령줄 유틸리티입니다. 여기서 모델은 위험한 함수 호출을 검색했고, 연속된 strcat 작업이 4096바이트 filename 버퍼에 쓰는 것을 발견했습니다. 그 작업은 입력 문자열의 길이를 뺀 크기 계산 후 추가 문자열을 다시 확인하지 않고 덧붙였습니다. 게시물은 관련 전제 조건 때문에 기존 퍼저들이 그 경로에 거의 도달하지 못했다고 언급합니다. OpenSC의 2026년 1월 19일 커밋 33ab343a5c는 추가되는 문자열이 정확히 64바이트인지 확인하는 검사를 추가했고, 2026년 1월 25일에 병합된 풀 리퀘스트 #3554는 프로젝트 전반의 나머지 strcat 호출을 strlcat로 대체했습니다. 작성자는 이 함수를 "모든 정적 분석 도구와 CVE의 자석"이라고 불렀습니다.

• CGIF, GIF 인코더입니다. 이 라이브러리는 압축된 데이터가 항상 비압축 입력보다 작을 것이라고 가정했는데, 이는 거의 항상 사실입니다. 모델은 LZW가 고정 크기 사전을 구축하며, 사전이 가득 차면 스트림에 삽입되는 클리어 코드로 인해 "압축된" 출력이 입력보다 길어질 수 있다고 추론했습니다. 따라서 N+2개 코드에 맞춰진 버퍼가 N+1개보다 많은 데이터를 받을 수 있습니다. 이 글에서는 특정한 작업 순서가 필요하기 때문에 100퍼센트 라인 및 분기 커버리지조차도 이를 드러내지 못할 수 있다고 말합니다. 2026년 1월 19일에 병합되어 같은 날 v0.5.1로 출시된 CGIF의 풀 리퀘스트 #84는 바로 이 문제를 수정합니다: "상한 LZW 데이터 크기 계산에서 리셋 클리어 코드가 누락되었습니다."

그 수정 사항들은 연구가 발표되기 전에 반영되었습니다 — CGIF와 OpenSC는 2026년 1월 19일, OpenSC는 1월 25일 다시, Ghostscript는 1월 26일 — 그리고 Anthropic은 게시물에서 공개하기 전에 "이들을 보고하기 시작했고 초기 패치가 반영되는 것을 보고 있다"고 밝혔습니다. 저장소에는 코드 변경이 기록되어 있지만 누가 보고서를 제출했는지는 기록되어 있지 않습니다. 따라서 모델의 발견과 이 특정 커밋 사이의 연결은 Anthropic의 설명과 설명된 결함이 diff와 얼마나 밀접하게 일치하는지에 달려 있습니다.

The researcher who said the OpenSC bug was not real

Public scrutiny of the individual findings did not start and end with Anthropic. On 14 February 2026 K. Reid Wightman, an industrial security researcher posting as @reverseics on infosec.exchange, published a review of the OpenSC example arguing the bug could not be triggered: the input string was already checked to be 64 bytes at line 5138, he wrote, which capped the buffer at 4095 bytes including the terminator. "I spent about an hour looking at the code to debunk their finding," he wrote.

He edited the same post on 17 February 2026 to withdraw the challenge. "Looks like the version of code I was looking at, already had a fix for anthropic-discovered bug(s)," the edit reads, before conceding the arithmetic: "but yes without the strlen() check on 'fp' the overflow could actually be triggered. The humble pie has been eaten." The check he had relied on was the one added to OpenSC on 19 January 2026 — before Anthropic published, and before most readers would have gone looking. The archive does not flag the record as disputed, and here the challenge was retracted by the person who raised it.

OpenSC's own maintainers answered the same question in their tracker. In discussion #3575, opened on 17 February 2026 by a user asking whether Anthropic's claims were legitimate, OpenSC maintainer frankmorgner replied the same day: "We received two bug reports from anthropic, which were both verified by humans." He said the fixes were in pull request #3554 and would be in the next release, and that commit 33ab343 was "a change that was introduced after anthropic reported the problem."

거버넌스 측면: 프로브, 차단, 90일

이 글을 단순한 연구 노트가 아니라 정책 기록으로 만드는 것은 게시물의 후반부에 있습니다. 모델 출시와 함께 Anthropic은 사이버 특화 프로브를 도입했으며, 이 프로브는 응답을 생성하는 동안 모델 내부의 활성화를 측정하고, Anthropic은 프로브 기반 탐지를 사용하도록 집행 워크플로를 업데이트했다고 밝혔습니다. 탐지에 그치지 않습니다. "악의적이라고 탐지한 트래픽을 차단하는 것을 포함해 실시간 개입을 시행할 수 있습니다." Anthropic은 "이는 정당한 연구와 일부 방어 작업에 마찰을 일으킬 것"이라며 비용을 인정하고, 보안 연구 커뮤니티와 이 문제를 함께 해결해 나가고 싶다고 밝힙니다. 탐지율, 오류율 또는 이의 제기 절차는 공개되지 않았습니다.

이 게시물은 또한 공개 일정 자체가 이제 문제라고 주장한다. "업계 표준인 90일 기간은 LLM이 발견한 버그의 속도와 규모를 견디지 못할 수 있다"고 말하며, 모델이 "곧 전문 인간 연구자조차 능가하는 속도와 규모를 갖추게 될 수 있다"고 경고한다. 이는 자신이 평가받을 기준이 교체되어야 한다고 주장하는 한 공급업체의 입장이며, 기록 중 영향 범위가 가장 긴 부분이다.

그 후 무엇이 달라졌나요?

2026년 2월 20일 Anthropic은 Enterprise 및 Team 고객을 대상으로 Claude Code Security를 제한적 연구 프리뷰로 공개했으며, 오픈소스 유지관리자에게는 무료 신속 접근 권한을 제공했다. 이 기능은 연구가 진행된 지 15일 만에 제품화되었다. VentureBeat는 이번 출시를 보도하며, 자체 검증 전후의 오탐률과 패치가 적용된 공개 취약점 수 대비 아직 분류 중인 취약점 수, 그리고 공격자 사용과 방어자 사용을 구분하는 안전장치에 대해 Anthropic에 질의했다고 밝혔다. 또한 해당 프로젝트의 수석 연구원은 연락이 닿지 않았고, 회사는 구체적인 공격자 탐지 메커니즘 공유를 거부했다고 보도했다.

패치도 계속 움직였고, 항상 한 방향으로만 움직인 것도 아니었다. Anthropic이 설명한 할당 문제에 대한 CGIF의 수정은 2026년 1월 19일 v0.5.1에 포함되어 배포되었다. 2026년 2월 21일에는 풀 리퀘스트 #103이 바로 그 할당 계산으로 인해 생긴 32비트 정수 오버플로를 수정했고, 다음 날 v0.5.2로 배포되어 최대 65,535 x 65,535 픽셀의 GIF를 처리할 수 있게 되었다. 경계 계산을 고치는 일은 그 자체로 경계 버그의 작은 원천이 된다는 것이 밝혀졌다.

숫자를 올바르게 읽기

Anthropic 자체 문구는 "500개가 넘는 고심각도 취약점"이다. 회사가 가장 먼저 브리핑한 Axios는 발행 당일 이를 "이전에 알려지지 않은 500개가 넘는 제로데이 취약점"이라고 표현했으며, 각각은 Anthropic 팀원이나 외부 보안 연구원이 검증했다. 두 설명은 같은 집합을 가리키지만, 그중 하나만 공급업체의 표현이고, 어느 쪽에도 목록, CVE 매핑, 심각도 분포가 첨부되지 않았다. 집계는 Anthropic의 것이고 심각도 평가도 Anthropic의 것이며, 대중이 확인할 수 있는 것은 게시물에서 다룬 세 프로젝트뿐이다.

이어서 나온 독립적인 분석들은 대체로 그 숫자를 액면 그대로 받아들이고 그것이 무엇을 의미하는지를 두고 논쟁했다. Futurum Group의 Mitch Ashley는 2026년 2월 24일, 이 결과가 "숫자 자체보다 그 방법이 드러내는 것에 더 중요하다"고 썼으며, 진짜 제약은 다운스트림에 있다고 했다. "더 많은 취약점을 더 빨리 드러낸다고 해서 공격 표면이 줄어드는 것은 아니다. 그것은 그 물량을 감당할 수 없는 다운스트림 프로세스 앞에 더 큰 대기열을 만든다." 이는 발견 내용 자체가 아니라 공개 파이프라인에 대한 비판이며, Anthropic이 90일 기간에 관해 제기한 것과 같은 지점을 짚는다.

기록이 입증하지 못하는 것

아카이브는 이 기록에 신뢰도 A, 심각도 정보를 부여하며, 실제 피해는 기록되지 않았고 이의 제기 표시도 없습니다. 그 등급은 사건이 얼마나 잘 문서화되었는지를 나타내는 것이지, 그 바탕이 되는 주장이 얼마나 잘 감사되었는지를 나타내는 것은 아니며, 이 차이는 기억해 둘 가치가 있습니다. Anthropic 외부에서는 500건을 검증한 사람이 없습니다. 오탐률은 공개된 적이 없습니다. 이름이 언급된 세 프로젝트의 패치는 실제이며 날짜를 확인할 수 있고, 이용 가능한 가장 강력한 보강 증거입니다. 그러나 이는 세 가지 사례를 뒷받침할 뿐 전체를 뒷받침하는 것은 아닙니다.

그렇다면 남는 것은 검증 가능한 핵심과 검증 불가능한 나머지로 이루어진, 잘 문서화된 발표다. 한 공급업체가 어떤 기능을 보고하고, 그 버그 설명과 일치하는 세 개의 업스트림 diff가 있으며, 모델 계층에서 그 기능의 오용을 단속하겠다는 의사를 밝힌다. 아카이브는 이를 정책으로 분류하는데, 그것이 올바른 서가다. 기능 주장은 네 번째 패치를 공개하는 사람에 의해 판가름 날 것이다.