Claude zidentyfikował 29 000 potencjalnych błędów w oprogramowaniu otwartoźródłowym
14 października 2026 · Czas czytania: 2 min
Dostępne również w العربية, हिन्दी, Português (Brasil), Français, Svenska, Русский, Nederlands
Narzędzie OSS Scanner firmy Anthropic wykryło ponad 29 000 kandydatów na luki w zabezpieczeniach w szeroko wykorzystywanych projektach otwartoźródłowych. Do tej pory naprawiono jedynie 516 z tych podatności.
Problem polega na tym, że model Claude znajduje potencjalne błędy szybciej, niż ludzcy badacze są w stanie je zweryfikować. W procesie przeglądu uczestniczy sześć zewnętrznych firm zajmujących się badaniami bezpieczeństwa, które przeanalizowały około 6 000 zgłoszeń. Z tej liczby 5 674 uznano za poprawne, jednak tylko 516 zostało naprawionych w kodzie źródłowym. Obecnie około 23 000 potencjalnych luk pozostaje nieprzejrzanych.
Firma przesłała 6 157 znalezisk do opiekunów projektów, co zaowocowało wydaniem 584 identyfikatorów CVE oraz powiadomień o bezpieczeństwie w serwisie GitHub. Aby przyspieszyć proces, Anthropic wprowadziła opcjonalną szybką ścieżkę, w ramach której kwalifikujące się projekty otrzymują bezpłatne, okresowe skanowanie za pomocą zaawansowanych modeli, w tym Claude Mythos. Wyniki tych skanowań trafiają bezpośrednio do opiekunów bez wcześniejszej weryfikacji przez pracowników firmy. W ten sposób przesłano już prawie 5 000 niezweryfikowanych raportów do zainteresowanych twórców.
Wczesne testy wykazały wysoką skuteczność skanera. Z 97 znalezisk o krytycznym i wysokim stopniu zagrożenia z 48 projektów, 85 zostało zatwierdzonych do ujawnienia, a 11 kolejnych okazało się prawdziwymi błędami, które powielały znane już problemy. Tylko jedno zgłoszenie było fałszywym alarmem. Mimo to Anthropic przyznaje, że niektórzy opiekunowie zgłaszali zawyżone oceny dotkliwości błędów oraz sytuacje, w których skaner błędnie zinterpretował model zagrożeń projektu.
Raporty generowane przez system zawierają samodzielny program odtwarzający błąd, wyjaśnienie miejsca jego wprowadzenia oraz propozycję poprawki. Przedstawiciele projektów OpenSSL Corporation, wolfSSL oraz PostgreSQL potwierdzili użyteczność tych danych. Daniel Stenberg z projektu cURL stwierdził, że OSS Scanner znalazł wiele problemów, w tym jedną z najpoważniejszych luk zgłoszonych w tym projekcie w ostatnich latach.
Proces skanowania odbywa się w izolowanych maszynach wirtualnych bez dostępu do internetu. Dostęp do usługi jest ograniczony do uznanych projektów otwartoźródłowych, które spełniają kryteria podobne do OSS-Fuzz i posiadają zasoby do obsługi zgłoszeń. Anthropic weryfikuje, czy osoba zgłaszająca jest głównym opiekunem projektu. W przypadku niezweryfikowanych znalezisk nie obowiązuje 90 dniowy termin na naprawę, jednak po potwierdzeniu błędu przez człowieka termin ten zaczyna biec. Firma zastrzega, że w przyszłości może wprowadzić okresy ujawniania dla niektórych krytycznych błędów po uprzednim powiadomieniu projektów.