Anthropic представила новий інструмент OSS Scanner — безплатний сервіс для виявлення вразливостей у проєктах із відкритим кодом. Долучитися до нього можуть команди, що погодяться на регулярні перевірки за допомогою найпотужніших моделей компанії, серед яких Claude Mythos.

В основу сервісу лягли напрацювання з Project Glasswing, де Anthropic застосовувала штучний інтелект для пошуку вразливостей. На відміну від комерційного продукту Claude Security, орієнтованого на бізнес, OSS Scanner створений саме для підтримки розробників відкритого ПЗ і надаватиме перевірки безоплатно, зазначається в заяві компанії.

Тисячі знахідок і пришвидшена перевірка

За останні півроку Anthropic застосовувала свої новітні моделі для аналізу низки найважливіших програмних продуктів. У результаті ШІ виявив понад 29 000 потенційних проблем, однак фахівці встигли вручну опрацювати й розставити пріоритети лише для близько 6000 із них.

Компанія також звертає увагу, що мейнтейнери відкритих проєктів дедалі частіше хочуть отримувати всі знахідки одразу, навіть ті, що ще не пройшли людську перевірку. Станом на момент анонсу Anthropic уже передала розробникам майже 5000 таких звітів разом із пропозиціями щодо виправлення.

Саме новий сервіс покликаний зробити цей процес швидшим: звіти формуються повністю автоматично, без додаткової перевірки людиною, тож сканування проєктів може відбуватися значно частіше. Водночас в Anthropic попереджають, що серед результатів можуть траплятися хибні спрацювання, повтори або неточна оцінка рівня небезпеки.

Перед офіційним запуском Anthropic перевірила роботу сканера на десятках відкритих проєктів. Уже на цьому етапі було зафіксовано сотні повідомлень про помилки, а в окремих випадках вдалося побудувати ланцюжки вразливостей, що давали змогу віддалено виконувати код без автентифікації (RCE).

Додатково команда фахівців із тестування на проникнення детально проаналізувала 97 критичних і високоризикових знахідок у 48 проєктах. 85 із них, тобто 88%, виявилися такими, що відповідають вимогам якості процесу скоординованого розкриття вразливостей (CVD).

Ще 11 знахідок справді виявилися реальними помилками, проте дублювали вже відомі проблеми чи інші результати сканування. Хибнопозитивною виявилась лише одна знахідка.

Водночас частина мейнтейнерів зауважила, що сканер інколи переоцінює серйозність знахідки або неправильно враховує модель загроз конкретного проєкту. В Anthropic пообіцяли надалі вдосконалювати систему, спираючись на зворотний зв'язок від розробників і подальший розвиток моделей.

Кожен звіт міститиме код для відтворення помилки, пояснення природи вразливості, приблизний час її появи в коді, а також, якщо можливо, готовий варіант виправлення.

Як долучитися до OSS Scanner

Подати заявку можуть мейнтейнери проєктів, які відповідають критеріям програми. Для цього потрібно створити запит у GitHub-репозиторії сервісу, дотримуючись встановленого шаблону та супутніх інструкцій.

Anthropic розглядатиме кожен проєкт окремо, керуючись принципами, подібними до тих, що застосовуються в OSS-Fuzz. Головна умова для відбору — значущий вплив проєкту на інфраструктуру та безпеку користувачів.

Раніше повідомлялося, що Broadcom інвестує в Anthropic до $42 млрд на розвиток інфраструктури для штучного інтелекту.