أداة مسح من Anthropic تكتشف 29,000 ثغرة محتملة في البرمجيات مفتوحة المصدر

تظهر لوحة بيانات الإفصاح أنه حتى تاريخ 2 أكتوبر، أكدت شركات الأمن الخارجية أن 5,674 من أصل 6,123 نتيجة تمت مراجعتها كانت صالحة، ولكن تم إصلاح 516 ثغرة فقط في المصدر الأساسي. وأرسلت الشركة 6,157 نتيجة إلى المسؤولين عن الصيانة، وصدرت 584 معرفاً من CVE وتنبيهات GitHub الأمنية، رغم أن بعض النتائج حصلت على كليهما، بينما لا يزال هناك نحو 23,000 مرشح دون مراجعة.

ولمواجهة تراكم العمل، بدأت Anthropic في منح المشاريع المؤهلة عمليات مسح دورية مجانية مدعومة بأفضل نماذجها، بما في ذلك Claude Mythos، حيث تذهب النتائج مباشرة إلى المسؤولين عن الصيانة دون تحقق مسبق من الشركة، وهو ما تصفه الشركة بأنه مسار سريع اختياري. وقد أرسلت الشركة بالفعل ما يقرب من 5,000 تقرير غير متحقق منه إلى المسؤولين الذين طلبوا ذلك.

أشارت Anthropic في إعلانها التقني إلى أن المسؤولين عن الصيانة أبلغوا عن تقييمات مبالغ فيها لخطورة بعض الثغرات، وحالات أخطأ فيها الماسح في فهم نموذج التهديد الخاص بالمشروع. ومع ذلك، أشاد بعض المسؤولين بجودة التقارير، حيث ذكر مدير OpenSSL Corporation أن مخرجات النموذج تطابق أو تتفوق أحياناً على ما يتلقاه المشروع من باحثين بشر، خاصة عند إرفاق استغلال فعال للثغرة.

تعتمد عملية المسح على بناء كل مشروع في آلة افتراضية معزولة مع قطع الوصول إلى الإنترنت قبل البدء، وتُرسل التقارير عبر البريد الإلكتروني. وتقتصر الخدمة على المشاريع مفتوحة المصدر الراسخة التي تمتلك الموارد اللازمة للتعامل مع تقارير الثغرات، وتتطلب معايير أهلية مشابهة لـ OSS-Fuzz، مع التحقق من أن المتقدم هو مسؤول صيانة أساسي.