أنثروبيك تطلق OSS Scanner، أداة مجانية لفحص الثغرات في البرمجيات مفتوحة المصدر

فتحت أنثروبيك الوصول إلى OSS Scanner، أداة مجانية لفحص الثغرات الأمنية مخصصة لمشاريع البرمجيات مفتوحة المصدر. وبعد ستة أشهر من الفحص المكثف، عثرت الشركة على 29,000 ثغرة محتملة، لكن الفحص والتصنيف اليدويين أصبحا نقطة الاختناق: فلم تُعالَج يدويًا سوى 6,000 تقرير. ومع ذلك، لم تمنع قلة الموارد انتشار النتائج، إذ طلب القائمون على المشاريع في كثير من الأحيان الحصول على جميع التقارير دفعة واحدة، حتى غير المفحوصة منها. وحتى الآن، أُرسل 5,000 تقرير مباشرة إلى القائمين على المشاريع بناءً على طلبهم. وتطرح أنثروبيك الآن مسارًا أسرع: يعمل OSS Scanner في وضع fast-track، منتجًا التقارير فور الاكتشاف دون أي تحقق يدوي.

حجم النتائج وجودتها

تُظهر نتائج أنثروبيك على معيار NDCVE أن نماذج اللغة حسّنت بشكل كبير قدرتها على اكتشاف الثغرات: من أقل من 20% في بداية العام الماضي إلى أكثر من 85% في العام الحالي. وفحص خبراء في اختبار الاختراق 97 ثغرة حرجة وعالية الخطورة من نتائج OSS Scanner عبر 48 مشروعًا مختلفًا. وكانت النتائج مطمئنة: طابقت 85 تقريرًا (88%) معايير عملية CVD الخاصة بأنثروبيك. ومن بين الـ12 المتبقية، تكررت 11 ثغرة مع مشاكل معروفة سابقًا، ولم تُصنَّف إلا ثغرة واحدة كإيجابية كاذبة — وهي في الواقع خطأ من الخوارزمية. وتضمنت التقارير الأولية مئات من تقارير الأخطاء، تمكّن بعضها من التسلسل ليؤدي إلى تنفيذ تعليمات برمجية عن بُعد دون مصادقة في المشاريع المختبرة.

ستُولَّد التقارير بالكامل من النموذج دون تدخل بشري للفحص — وهذا يسرّع عملية الفحص، لكنه يعني أن بعض النتائج قد تكون غير صحيحة أو لا تنطبق على سياق المشروع. ولتحقيق أقصى قوة، تستخدم أنثروبيك أقوى نماذجها، بما في ذلك Claude Mythos.

آراء المشاريع البارزة

خصّصت أنثروبيك أسابيع لاختبار خط المعالجة مع عشرات مشاريع البرمجيات مفتوحة المصدر، وحصلت على آراء محددة:

نوح ميش (PostgreSQL): «اكتشف OSS Scanner عددًا غير معتاد من العيوب في PostgreSQL. وجاءت عدة تقارير مع إصلاحات يمكن استخدامها تقريبًا كما هي. وسمح الوصول عبر fast-track بمعالجة مشاكل جديدة قبل إطلاق النسخة النهائية GA.»

أنطون أرابوف (OpenSSL Corporation): «كانت تقارير الذكاء الاصطناعي الأولى، قبل 18 شهرًا وقبل مشروع Glasswing، سيئة جدًا. أما تقارير أنثروبيك، حتى في مخرجاتها الخام من النموذج، فهي بجودة مماثلة أو أفضل من تقارير البشر. وعندما يأتي التقرير مع ثغرة استغلالية جاهزة، فهذا يمثل للمهندس حلًا جاهزًا تقريبًا.»

تود أوسكا (wolfSSL): «الإشارة عالية الجودة: من بين 74 تقريرًا تم استلامها، كانت جميعها صحيحة باستثناء اثنين، وتحولت خمسة منها إلى CVE. ومع الإصلاحات المرفقة، تُدمج التقارير فورًا في عملية التحقق والإصلاح الخاصة بنا. ونريد المزيد منها.»

إدي كولر (HotCRP): «التقارير مفصّلة وواضحة، وتُظهر فهمًا قويًا لنموذج الأذونات المعقد في HotCRP، مع ترتيب جيد لأولوية المشاكل.»

دانيال ستينبرغ (curl): «نستخدم جميع الأدوات المتقدمة المتاحة لاكتشاف المشاكل وتعزيز منتجاتنا. ساعدتنا أداة OSS Scanner في العثور على عدة مشاكل تستحق الحل في curl، بما في ذلك واحدة من أخطر الثغرات التي أُبلغ عنها في السنوات الأخيرة.»

تحتوي التقارير على حالات إعادة إنتاج مستقلة، وشرح للثغرة (يشمل تحليل bisection لتحديد اللحظة التي أُدخل فيها الخطأ)، وإصلاحات مقترحة.

العملية والبرامج الإضافية

استلهمت أنثروبيك من نجاح مشروع OSS-Fuzz، الذي يفحص الشيفرة مفتوحة المصدر بحثًا عن ثغرات باستخدام أدوات fuzzing. ويتبع OSS Scanner نفسه مبدأً مشابهًا، لكنه يستخدم نماذج اللغة بدلًا من أدوات التحليل الديناميكي.

ستستمر الشركة في إرسال التقارير المفحوصة يدويًا عبر عملية الإفصاح المنسّق عن الثغرات (CVD) الحالية، خصوصًا للمشاريع التي لا تملك موارد كافية لإجراء تصنيفها الخاص. لكن خيار fast-track أصبح الآن متاحًا لكل من يريد الاستجابة بسرعة للنتائج.

يمكن للقائمين الرئيسيين على المشاريع المؤهلة التسجيل عبر إرسال طلب pull request إلى مستودع أنثروبيك، باستخدام القالب المعياري. وتصبح المشاريع مؤهلة بناءً على معايير OSS-Fuzz، حيث يجب أن يكون لها «تأثير حرج على البنية التحتية وأمن المستخدمين»، ويُتخذ القرار حالة بحالة.

وتتوفر برامج إضافية:

• Cyber Verification Program — يوفر قدرات سيبرانية متقدمة ومصنّفات حجب مخففة للمتخصصين المؤهلين في الأمن السيبراني. • اشتراكات Claude Max 20x — متاحة مجانًا للمساعدة في إصلاح الثغرات وتحسين مشاريع البرمجيات مفتوحة المصدر.