Anthropic wprowadza dobrowolne skanowanie bezpieczeństwa dla kluczowych projektów otwartoźródłowych
26 października 2026 · Czas czytania: 2 min
Dostępne również w Deutsch, Español, Nederlands, Norsk
Firma Anthropic uruchomiła OSS Scanner, darmową i dobrowolną usługę służącą do wykrywania podatności w projektach otwartoźródłowych. Zarejestrowani opiekunowie projektów otrzymują okresowe raporty bezpieczeństwa generowane przez najsilniejsze modele firmy, w tym Claude Mythos.
Raporty są przesyłane bez wcześniejszego przeglądu przez ludzi. Opiekunowie projektów mogą samodzielnie weryfikować znalezione błędy i decydować, które z zaproponowanych poprawek zostaną zaakceptowane. Każdy raport zawiera wyjaśnienie podejrzanej podatności oraz samodzielny program do reprodukcji błędu. W miarę możliwości system identyfikuje zmianę, która wprowadziła błąd, i dostarcza kandydata na poprawkę.
Decyzja o wprowadzeniu automatycznych raportów wynika z ograniczeń związanych z ludzką weryfikacją. W ciągu sześciu miesięcy modele zidentyfikowały ponad 29 000 potencjalnych podatności, jednak badacze zdołali ręcznie przejrzeć i posegregować około 6 000 z nich. Prawie 5 000 niezweryfikowanych raportów wraz z poprawkami trafiło do opiekunów, którzy poprosili o wcześniejszy dostęp.
Skuteczność narzędzia została przetestowana na próbie 97 znalezisk o krytycznym i wysokim stopniu dotkliwości w 48 projektach. 85 z nich spełniło kryteria skoordynowanego ujawniania podatności, 11 było prawdziwych, ale powielało znane problemy, a jedno okazało się błędne. Anthropic przyznało, że niektórzy opiekunowie zauważyli zawyżone oceny dotkliwości lub niezrozumienie modeli zagrożeń w ich projektach.
Jednym z potwierdzonych sukcesów było wykrycie podatności typu użycie po zwolnieniu w przesyłaniu HTTP/2 w projekcie curl, zidentyfikowanej przez Luna Tong z Anthropic. Błąd ten, oznaczony jako CVE-2026-92392, został naprawiony w wersji 8.23.0 i mógł pozwolić na zdalne wykonanie kodu w określonych warunkach.
Proces rejestracji odbywa się poprzez żądanie połączenia w serwisie GitHub, zawierające konfigurację projektu i plik Dockerfile. Skanowanie po konfiguracji odbywa się bez dostępu do internetu. Priorytet otrzymują uznane projekty ważne dla infrastruktury i bezpieczeństwa użytkowników. Opiekunowie mogą opcjonalnie dostarczyć plik modelu zagrożeń, aby określić zakres, wykluczyć komponenty lub wyjaśnić sposób oceny dotkliwości błędów.
Usługa ta była inspirowana rozwiązaniem OSS-Fuzz od Google, jednak OSS Scanner wykorzystuje modele językowe do badania kodu. Różni się również od CodeMender od Google DeepMind tym, że przesyła niezweryfikowane znaleziska bezpośrednio do odbiorców, podczas gdy CodeMender zachowuje ludzki przegląd przed zgłoszeniem.