Anthropic تطلق OSS Scanner المجاني المعتمد على Claude Mythos لفحص المشاريع مفتوحة المصدر

أطلقت Anthropic خدمة OSS Scanner، وهي خدمة مجانية تفحص المشاريع مفتوحة المصدر بحثًا عن الثغرات بصورة منتظمة. والتكلفة على القائمين على صيانة هذه المشاريع تساوي صفرًا. وتتولى العمل أقوى نماذج الشركة، ومنها Claude Mythos.

صياغة الإعلان موجزة، لكنها تتضمن ثلاث سمات جوهرية. الخدمة مجانية، أي أنها ليست فترة تجريبية ولا باقة مقلّصة. والفحوص دورية، فهي مراقبة مستمرة وليست تدقيقًا لمرة واحدة قبل الإصدار. وبدلًا من نموذج مخفّف للمهام الواسعة، تراهن Anthropic على نماذجها الرائدة في عمليات الفحص. وهذا قرار لافت من شركة تكسب من الاشتراكات وواجهة API، إذ تُخصَّص أغلى نماذجها تشغيلًا لمهمة لا تدرّ إيرادات مباشرة.

لماذا وقع الاختيار على المصادر المفتوحة؟

تقوم الشيفرة المفتوحة في أساس كل منتج حديث تقريبًا، لكن من يتابعها في الغالب متطوعون أو فرق صغيرة جدًا. وقد أظهرت ثغرة Heartbleed في OpenSSL عام 2014 وثغرة Log4Shell في Log4j عام 2021 أن خطأً واحدًا غير مكتشف في مكتبة قليلة الظهور قد يتحول إلى مشكلة تطال مئات الآلاف من الأنظمة. التدقيق المهني مكلف، ومعظم المشاريع لا تحصل عليه أبدًا.

والفحص بالذكاء الاصطناعي يسدّ هذه الفجوة تحديدًا. فالنموذج لا يتعب، ويقرأ الشيفرة كاملة، ويمكنه العودة إليها بعد كل تعديل. وبالنسبة إلى مشروع يقوم عليه ثلاثة مشرفين، قد يعني ذلك الفرق بين «سنفحصه يومًا ما» و«فُحص الأسبوع الماضي».

وهناك جانب آخر. فقد اشتكى مشرفون على مشاريع، منها curl، علنًا من سيل تقارير الثغرات التي ينتجها الذكاء الاصطناعي بلا معنى، ويضطرون إلى فرزها يدويًا. ويصطدم أي ماسح بمقياس واحد: نسبة الإنذارات الكاذبة. فإذا كانت التقارير دقيقة وقابلة لإعادة الإنتاج، وفّرت الخدمة الوقت. أما إذا كانت مليئة بالضجيج، فستضيف عملًا إلى أشخاص لديهم أصلًا فائض منه.

ما الذي لا يتضمنه الإعلان؟

يقدّم المصدر وصفًا عامًا فقط، ولم تُكشف المعايير الأساسية بعد. وفيما يلي ما هو معروف وما يظل مفتوحًا:

• المطوّر: Anthropic.
• التكلفة: مجانًا.
• الدورية: فحص منتظم.
• النماذج: الأقوى لدى الشركة، ومنها Claude Mythos.
• الهدف: المشاريع مفتوحة المصدر.
• غير مذكور: معايير اختيار المشاريع، والحدود المفروضة على حجم المستودعات، وصيغة التقارير، وآلية الإفصاح عن الثغرات المكتشفة.

والنقطة الأخيرة أهم من غيرها. فالثغرة المكتشفة قبل صدور الإصلاح تصبح معرفة خطرة. ويتوقف كون الخدمة حماية أو مصدر خطر على من يتلقى التقرير أولًا (المشرف وحده أم Anthropic أيضًا) وعلى مهل الإفصاح المعمول بها.

ماذا ينبغي على المشرفين والشركات أن يفعلوا؟

ينبغي للمشرفين أن يتحققوا مسبقًا من شروط الانضمام، وأن يتأكدوا من وصول التقارير عبر قناة مغلقة، مثل التنبيهات الأمنية الخاصة (private security advisories) على منصة استضافة الشيفرة. ويستحسن اختبار النتائج الأولى على وحدة صغيرة، وحساب نسبة النتائج القابلة لإعادة الإنتاج بشكل منفصل. فهذا الحساب يُظهر الفائدة الفعلية أسرع من أي تصريحات.

أما الشركات التي تقوم منتجاتها على المصادر المفتوحة، فمن المفيد أن تقارن قائمة اعتمادياتها بالمشاريع التي ستنضم إلى الخدمة. وإذا كانت مكتبة أساسية تُفحص بانتظام، فهذا يقلّل المخاطر. لكن هذا الفحص لا يحلّ محل التدقيق الخاص بالشركة ومراقبة CVE ما دام عمق التحليل ونسبة الأخطاء الفائتة مجهولين.

والسؤال الرئيسي في الأشهر المقبلة: كم ثغرة حقيقية ستكتشفها الخدمة، وكم من وقت الأشخاص الذين سيتولون فرز نتائجها ستستهلك.