← Назад в Sardaana AI
Anthropic запускает бесплатный opt-in OSS Scanner для поиска уязвимостей в открытом ПО
Новый сервис Anthropic периодически сканирует записанные open-source проекты сильными моделями, включая Claude Mythos, и шлёт отчёты без проверки человеком. Ранняя экспертная проверка показала, что большинство критических находок соответствуют стандартам раскрытия.
8 октября 2026 года Anthropic запустила бесплатный opt-in OSS Scanner для проектов с открытым кодом. Он отличается от корпоративного Claude Security и вдохновлён OSS-Fuzz Google.
Как устроено
- Записанные проекты получают периодические сканы сильнейшими моделями Anthropic, включая Claude Mythos.
- Отчёты генерирует модель без проверки человеком и они могут быть неверными.
- Обычно в отчёте есть воспроизведение, пояснение и кандидатный патч.
- Запись — через pull request в GitHub-репозиторий Anthropic; критерии похожи на OSS-Fuzz (влияние на критическую инфраструктуру).
- Anthropic также даёт Claude for OSS бесплатно на уровне Max 20x для исправлений.
Приведённые результаты
- В рамках Project Glasswing модели нашли более 29 тыс. кандидатов в уязвимости за около шести месяцев; около 6 тыс. проверили вручную, примерно 5 тыс. отчётов ушли мейнтейнерам, запросившим пакетную доставку.
- На бенчмарке CyberGym, пишет Anthropic, LLM выросли с нахождения менее 20% уязвимостей в начале прошлого года до более 85% в этом.
- В ранней валидации эксперты проверили 97 критических или высоких находок в 48 проектах: 85 (88%) соответствовали порогу координированного раскрытия; 11 были реальными, но дубликатами или уже известными; 1 — ложноположительный.
Среди отзывов мейнтейнеров Anthropic приводит Noah Misch (PostgreSQL), Anton Arapov (OpenSSL) и Todd Ouska (wolfSSL: 74 отчёта, все кроме двух валидны, пять CVE).