Anthropic запустила OSS Scanner для поиска уязвимостей в открытых проектах

OSS Scanner предназначен для открытых проектов, которые добровольно подключатся к регулярному поиску уязвимостей. По заявлению Anthropic, сканирование бесплатное и использует её наиболее сильные модели, в том числе Claude Mythos. Сервис вырос из опыта Project Glasswing, где компания применяла Claude для поиска проблем безопасности. Важное отличие новой схемы от обычной передачи проверенного отчёта: вывод модели может попасть к сопровождающим проекта без предварительной ручной проверки и классификации со стороны Anthropic.

Такой подход связан с масштабом потока находок. По данным Anthropic, за последние полгода её модели обнаружили более 29 тысяч потенциальных уязвимостей в исследованных проектах, а вручную удалось проверить и классифицировать около 6000. Компания сообщает, что сопровождающие некоторых проектов сами попросили присылать весь массив, включая ещё не проверенные результаты; таким способом было отправлено почти 5000 отчётов. Это число означает объём переданных сообщений, а не количество подтверждённых отдельных уязвимостей.

Anthropic приводит результаты выборочной проверки ранней версии сканера: специалисты по тестированию безопасности изучили 97 находок высокой и критической серьёзности в 48 проектах. По данным компании, 85 из них, или 88%, соответствовали требованиям её процедуры согласованного раскрытия уязвимостей. Среди остальных 12 лишь одна находка оказалась ложной, а 11 были реальными, но известными ранее или дублировали другие результаты сканирования. Показатель относится к этой отобранной группе серьёзных находок; переносить его на все автоматически сгенерированные отчёты нельзя.

В первых проверках с открытыми проектами отчёты включали описание проблемы, отдельный скрипт для воспроизведения и предлагаемый патч. Это помогает сопровождающим проверить находку в собственном окружении, а не полагаться на уверенную формулировку модели. В материале приводятся положительные отзывы представителей PostgreSQL, OpenSSL и других проектов. При этом некоторые сопровождающие говорили, что сканер может завысить серьёзность проблемы или неверно понять модель угроз проекта, то есть условия, при которых уязвимость вообще можно использовать.

Anthropic намерена сохранить и прежний путь: подтверждённые находки, особенно для команд без ресурсов на собственный разбор, будут проходить ручную проверку и согласованное раскрытие. OSS Scanner добавляет добровольный быстрый канал для тех, кто готов сортировать необработанные результаты сам. Согласно описанию программы, сопровождающие подходящих проектов могут подать заявку через GitHub; соответствие критериям значимости для инфраструктуры и безопасности пользователей Anthropic определяет индивидуально. Для команды проекта подключение поэтому означает не только получение новых сигналов, но и необходимость выделить время на их проверку.