Anthropic запускает Cyber Mission: бесплатный ИИ-сканер уязвимостей с точностью выше 90%

Anthropic запустила программу Cyber Mission, которая объединяет два направления: защиту критической инфраструктуры и проверку открытого программного обеспечения на уязвимости. Партнёрами выступают CrowdStrike и Palo Alto Networks. Они помогут обезопасить энергосети и системы водоснабжения. Для open-source проектов компания выпустила бесплатный ИИ-сканер, который автоматически ищет уязвимости. Заявленная ожидаемая точность — выше 90%. Об этом сообщает The Decoder.

Две задачи под одним названием

Программа решает проблемы, которые обычно лежат в разных областях. Энергосети и водоканалы — это промышленные системы с долгими циклами обновления и высокой ценой простоя. Open-source библиотеки — это код, на котором держится почти любой современный софт, при том что их поддерживают небольшие команды, а часто и отдельные волонтёры. Anthropic объединяет оба направления в одну инициативу и делает ставку на то, что ИИ-модели хорошо читают код и находят в нём ошибки.

Роль партнёров выглядит так: CrowdStrike и Palo Alto Networks — компании с опытом в обнаружении угроз и реагировании на инциденты. Они привносят экспертизу в отраслях, где у самой Anthropic нет собственного операционного опыта. Подробности распределения задач между участниками в первых сообщениях не раскрыты.

Что известно о сканере

Сканер работает с открытыми проектами автоматически и бесплатно. Ключевые параметры, которые удалось подтвердить:

• Название программы: Cyber Mission.
• Партнёры: CrowdStrike, Palo Alto Networks.
• Целевые объекты: критическая инфраструктура (энергосети, водоснабжение) и open-source проекты.
• Стоимость сканера для open-source: бесплатно.
• Ожидаемая точность обнаружения уязвимостей: выше 90%.

Слово «ожидаемая» здесь важно. Это не результат независимого теста, а ориентир, заявленный на старте. Неизвестно, на каком наборе данных проводилась оценка. Неясно, что именно считается точностью: доля найденных реальных уязвимостей или доля верных срабатываний среди всех найденных. Для сканера кода это принципиальная разница. Инструмент, который находит почти всё, но тонет в ложных тревогах, мейнтейнеры быстро отключат.

Не названа и модель, на которой построен сканер. Условия доступа, лимиты на размер репозитория и порядок раскрытия найденных уязвимостей тоже пока не описаны.

Почему ложные срабатывания решают всё

У open-source проектов главный дефицит — время людей, а не инструменты. Каждый отчёт сканера кто-то должен прочитать, воспроизвести и закрыть. Даже при точности 90% на крупной кодовой базе остаются десятки сомнительных находок. Если модель сопровождает каждую находку понятным описанием, примером эксплуатации и предложенным исправлением, сканер сэкономит часы. Если выдаёт общие предупреждения, он создаст дополнительную нагрузку.

Второй вопрос — ответственность за раскрытие. Автоматический поиск уязвимостей одинаково полезен защитникам и атакующим. Как Anthropic будет обращаться с найденными уязвимостями до выхода патчей, станет понятно из практики программы.

Как подойти к инструменту на практике

Мейнтейнерам открытых проектов разумно запустить сканер на одном некритичном репозитории и сравнить результат со своим списком известных проблем и с выводом привычных статических анализаторов. Так можно оценить долю ложных срабатываний до того, как встраивать его в CI.

Командам безопасности в компаниях, которые зависят от open-source, стоит проверить, какие из их ключевых зависимостей попадут под проверку, и запросить у Anthropic методику расчёта заявленных 90%. Операторам инфраструктуры полезнее дождаться описания того, какие именно услуги партнёры предоставят в рамках программы. Пока что это заявление о намерениях с одной конкретной цифрой, и проверять её придётся на реальном коде.