Инструмент Claude обнаружил 29 000 потенциальных ошибок в открытом программном обеспечении
14 октября 2026 г. · 2 мин чтения
Также опубликовано на العربية, हिन्दी, Português (Brasil), Français, Svenska, Polski, Nederlands
Компания Anthropic запустила инструмент OSS Scanner в рамках своей более широкой Кибермиссии. В результате сканирования популярных проектов с открытым исходным кодом в течение шести месяцев модели Claude выявили более 29 000 потенциальных уязвимостей.
На данный момент существует значительный разрыв между скоростью обнаружения ошибок и их исправлением. Внешние фирмы по исследованию безопасности, которые занимаются проверкой и сортировкой находок, изучили только около 6 000 случаев. По состоянию на 2 октября из 6 123 проверенных находок 5 674 были подтверждены как действительные, однако только 516 уязвимостей были исправлены в основном коде. Около 23 000 кандидатов в уязвимости остаются нерассмотренными.
Для ускорения процесса Anthropic внедрила систему, которую называет опциональным ускоренным путем. В рамках этой схемы подходящие проекты получают бесплатные периодические сканирования с использованием топовых моделей, включая Claude Mythos. Результаты направляются напрямую разработчикам без предварительной проверки сотрудниками Anthropic. Компания уже отправила почти 5 000 таких невалидированных отчетов по запросу сопровождающих проектов.
Технически отчеты содержат автономный репродуктор, объяснение места возникновения ошибки и, если возможно, вариант исправления. Разработчики проектов, таких как PostgreSQL и wolfSSL, отметили высокую точность отчетов. Основатель проекта cURL сообщил, что инструмент обнаружил несколько проблем, включая одну из худших уязвимостей за последние несколько лет. При этом Anthropic признает, что некоторые сопровождающие сообщали о завышенных рейтингах серьезности и случаях неправильного понимания модели угроз проекта.
Процесс сканирования происходит в изолированной виртуальной машине с отключенным доступом в интернет. Доступ к сервису ограничен установленными проектами, которые соответствуют критериям отбора, схожим с OSS-Fuzz, и имеют ресурсы для обработки отчетов. Anthropic проверяет, является ли заявитель основным сопровождающим, и ожидает, что проект уже справляется с исправлением критических уязвимостей.
Условия раскрытия информации позволяют разработчикам работать в своем темпе. Для невалидированных находок не действует стандартный 90-дневный срок. Однако, если компания позже подтвердит уязвимость через свою стандартную программу, она может быть раскрыта через 90 дней после уведомления разработчиков о подтверждении человеком. В будущем Anthropic может ввести сроки раскрытия для некоторых серьезных находок после уведомления проектов.