번호 생김새가 아니라 OSV API 조회 결과(200/404)로 확인합니다.
CVE·GHSA 번호는 형식만 보고 진위를 판단할 수 없습니다. security-sweep은 스캐너가 내놓은 모든 ID를 https://api.osv.dev/v1/vulns/<ID>에 조회해, 200이면 실재, 404면 검증 실패로 기록합니다. LLM이 “번호가 이상하니 가짜 같다”고 추측하는 실수를 막기 위한 규칙입니다.
직접 확인하는 방법
curl -s -o /dev/null -w '%{http_code}\n' https://api.osv.dev/v1/vulns/CVE-2026-97853
# 200
curl -s https://api.osv.dev/v1/vulns/CVE-2099-00001
# {"code":5,"message":"Vulnerability not found"} (HTTP 404)실측 결과 (2026-10-23 조회)
| ID | OSV 응답 | 판정 | 내용 |
|---|---|---|---|
CVE-2026-97853 | 200 | 실재 | Elixir decimal의 Decimal.round/3 DoS (places 인자로 메모리 과다 할당). 영향 범위: 0.1.0 이상 3.1.2 미만. OSV 레코드의 별칭(aliases): EEF-CVE-2026-97853, GHSA-6c27-994x-c52f |
CVE-2099-00001 | 404 | 검증 실패 | 형식은 그럴듯하지만 OSV에 레코드가 없습니다 |
번호가 낯설어 보이는 쪽이 실재하고, 그럴듯한 쪽이 404입니다. 그래서 생김새가 아니라 조회 결과로만 판단합니다.
security-sweep이 결과를 다루는 방식
| exists 값 | 의미 | 보고서 처리 |
|---|---|---|
true | OSV가 레코드를 돌려줌 (또는 osv-scanner·govulncheck 출력에 레코드가 포함됨) | 규칙대로 P0~P3 우선순위 |
false | OSV가 404를 돌려줌 | 우선순위 없이 “검증 실패” 섹션에 출처 스캐너와 ID만 나열 |
null | 네트워크 실패 또는 오프라인 | “미검증” 표시. 가짜라는 뜻이 아님 |
실재가 확인된 CVE는 CISA KEV(실제 악용 확인 목록) 등재 여부와 EPSS(30일 내 악용 확률 추정치)로 보강됩니다. KEV 등재 항목은 도달성과 무관하게 P0입니다.
실제 예시
개발 머신 한 대의 26개 프로젝트를 점검한 예시에서는 고유 권고 75개가 전부 OSV에서 실재 확인됐습니다 (404 0건, KEV 0건). 예시 보고서 보기
security-sweep으로 확인하기
/security-sweep:security-sweep CVE-2026-97853 이 우리 프로젝트에 영향 있는지 확인해줘security-sweep 설치 방법 보기 · 우선순위 규칙 보기
자주 묻는 질문
OSV에서 404가 나오면 가짜 CVE인가요?
단정하지 않습니다. security-sweep은 404 항목을 존재한다고도 가짜라고도 하지 않고, 출처 스캐너와 ID를 “검증 실패” 섹션에 그대로 나열합니다.
인터넷이 안 되는 환경에서는 어떻게 되나요?
--offline으로 실행하면 osv-scanner 출력에 포함된 OSV 레코드와 캐시만 사용합니다. 이 경우 trivy만 보고한 ID는 “미검증”으로 남습니다.
security-sweep이란?
security-sweep은 한 문장 요청으로 여러 프로젝트·서버·컨테이너 이미지의 알려진 취약점을 한 번에 점검하는 오픈소스 Claude Code 스킬입니다.
/plugin marketplace add baryonlabs/security-sweep
/plugin install security-sweep@baryonlabs-security