npm 공급망 공격을 분석해 우리 조직이 노출됐는지 보려던 요청이 8월 4일 막혔는데, 신고자는 앤트로픽 사이버 검증 프로그램(CVP)에 이미 가입한 상태였고 화면에는 '의도적으로 넓게 잡은 안전장치라 정상적인 코딩·보안·생물 작업도 가끔 걸린다'며 페이블 5에서 오푸스 5로 모델을 바꿨다는 안내가 떴어요. 8월 1~6일 클로드 코드 저장소에 제목에 cyber가 들어간 이슈만 9건 올라왔고, 8월 6일 이슈는 승인 메일을 받고도 검증 포털에는 '심사 중'으로 뜨면서 오푸스 4.8에서도 막혔다고 적었어요. 다만 새로 조인 정책은 아니에요 — 앤트로픽 도움말은 금지 용도와 고위험 이중용도를 기본 차단한다고 이미 밝혀 뒀고, 같은 차단 문구 제보는 4월 오푸스 4.6·4.7 때도 있었어요.
용어 풀이
- CVP
- 앤트로픽 사이버 검증 프로그램. 무료 신청·심사를 거쳐 보안 조직에 이중용도 작업 차단을 풀어 주는 제도
- npm
- 자바스크립트 패키지 저장소이자 설치 도구
- 이중용도
- 방어에도 공격에도 쓰일 수 있어 의도만으로는 구분이 안 되는 작업
운영자 인사이트
'검증만 받아 두면 풀린다'를 전제로 보안 업무를 에이전트에 얹지 마세요 — 승인 상태가 포털과 세션에서 어긋난 제보가 같이 나와요. 걸리면 조용히 다른 모델로 바뀌니 어떤 모델이 답했는지 로그에 남기고, 막히는 작업은 사람이 이어받을 경로를 미리 잡아 두세요.
여러 관점으로 보기
- 앤트로픽 공식 설명 금지 용도는 누구든 차단하고 고위험 이중용도는 기본 차단이라, 푸는 길은 무료 신청제인 사이버 검증 프로그램뿐이고 데이터 보관을 켜야 해요. Claude Help Center
- 승인받고도 막힌 사례 8월 6일 이슈는 승인 메일을 받았는데 검증 포털에는 '심사 중'으로 떠 있고, 낮은 오푸스 4.8로 내려가도 막혔다고 적었어요. GitHub
- 넓게 잡은 건 설계 앤트로픽은 7월 2일 글에서 페이블 5의 안전 여유를 다른 모델보다 크게 뒀고 그만큼 정상 요청이 더 막힌다고 스스로 적어 놨어요. Anthropic
- 오푸스 5는 이렇게 나왔어요 7월 24일 나온 오푸스 5는 이진 파일 취약점 검사·모의 침투·공격 코드 생성을 기본 차단한 채 출시됐고, 앤트로픽은 개입이 페이블 5보다 85%쯤 줄 거라고 했어요. SecurityWeek
- 새로 생긴 일이 아니에요 4월 17일 이슈도 같은 차단을 다뤘어요 — 그때 대상은 오푸스 4.6·4.7이었고, 권한 문서를 맥락에 넣어도 막혔다고 적혀 있어요. GitHub